オープンリレー（第三者中継）とは？スパムの踏み台にされる仕組みをわかりやすく解説【IPA試験対策】

対象試験と出題頻度

オープンリレー（第三者中継）は、情報セキュリティマネジメント試験、基本情報技術者試験、応用情報技術者試験で出題される可能性があります。

頻出度は「D（発展）」で、試験での登場頻度は高くありませんが、メールセキュリティの基本として押さえておきたい用語です。

用語の定義

オープンリレー（Open Relay）とは、一言で言うと「メールサーバー（SMTPサーバー）が、外部の誰からでもメール送信の依頼を受け付けてしまう状態」のことです。「第三者中継」とも呼ばれます。

イメージとしては、「誰でも自由に使える公衆電話が、いたずら電話やオレオレ詐欺の踏み台にされてしまう」ようなものです。本来、会社のメールサーバーは社員だけが使えるべきですが、設定ミスで「門を開けっ放し」にしてしまうと、外部の悪意ある人物がスパムメールやウイルスメールを大量にばら撒く「踏み台」として悪用されてしまいます。

解説

情報処理試験を勉強していると、「オープンリレーって何が問題なの？普通にメールを送れるだけでは？」と疑問を持つ方もいるかもしれません。結論から言うと、オープンリレーは「他人になりすましてメールを送れる環境を提供してしまう」点が最大の問題です。

通常、企業やISP（インターネットサービスプロバイダ）のメールサーバーは、自社の社員や契約者だけがメールを送信できるように制限をかけています。送信前にユーザーIDとパスワードで認証する「SMTP認証」や、送信元のIPアドレスを限定する方法などが一般的です。

ところが、この制限設定をうっかり忘れたり、古いサーバーをそのまま使い続けたりすると、インターネット上の誰でもそのサーバーを経由してメールを送信できる「オープンリレー」状態になってしまいます。

オープンリレーの問題点は、踏み台にされること自体だけではありません。踏み台にされたサーバーは「スパムを送信するサーバー」としてブラックリストに登録され、正規のメールまで相手に届かなくなる恐れがあります。

ある日突然、取引先や顧客にメールが届かなくなり、業務に深刻な支障をきたすケースも実際に発生しています。

オープンリレーへの対策

オープンリレーを防ぐための対策は、メールサーバーの適切な設定に尽きます。

SMTP認証（SMTP-AUTH）の導入は最も基本的な対策です。メール送信前にユーザーIDとパスワードによる認証を必須にすることで、正規の利用者以外からの送信を拒否できます。

送信元IPアドレスの制限も有効です。社内ネットワークからのみ送信を許可し、外部IPからの送信要求は拒否するよう設定します。これにより、社外の攻撃者がサーバーを悪用することを防げます。

POP before SMTPという方式もあります。メール送信前に、まずPOP（受信）サーバーに接続して認証を行い、認証済みのIPアドレスからのみ一定時間SMTPでの送信を許可する方法です。ただし、SMTP認証の普及により、現在では採用されることが少なくなっています。

OP25B（Outbound Port 25 Blocking）は、ISP側で実施される対策です。一般利用者のネットワークから外部のSMTPサーバー（ポート25）への直接接続をブロックすることで、ウイルス感染したPCがスパム送信の踏み台になることを防ぎます。

試験ではこう出る！

オープンリレーは、基本情報技術者試験で比較的よく出題されています。特に「ログを見て第三者中継かどうか判断する」形式の問題が過去に繰り返し出題されています。試験ではここまででOK、細かい設定方法までは問われません。

【確認テスト】理解度チェック

ここまでの内容を理解できたか、簡単なクイズで確認してみましょう。