【入門編】メールヘッダーインジェクションの仕組みと防御 – アプリケーションセキュリティ & 安全な開発防御ガイド

「メールの宛先が勝手に増えてる？」メールヘッダーインジェクションの正体と防犯対策

こんにちは。セキュリティの世界へようこそ。
皆さんは普段、Webサイトのお問い合わせフォームなどで「自動返信メール」を受け取ったことはありますか？

実は、その裏側にある「メール送信の仕組み」を悪用した、ちょっとズルい攻撃があるんです。それが「メールヘッダーインジェクション」です。

今日は、専門用語を並べるのは一旦置いておいて、「家」に例えながら、なぜこの攻撃が起きてしまうのか、どうやって自分たちのサービスを守ればいいのかを一緒に紐解いていきましょう。

—

メールを送るという行為は、手紙を封筒に入れてポストに投函する作業に似ています。
封筒には「宛先（To）」や「件名（Subject）」、そして「送り主」が書かれていますよね。

攻撃者は、あなたが用意した「お問い合わせフォーム」の入力欄を、「玄関の郵便受け」の隙間から勝手に別の手紙をねじ込む道具として使おうとします。

本来、あなたのシステムは「お問い合わせありがとうございます」という定型文を送るだけのはずです。しかし、入力欄に「改行コード（\r\n）」という特別な合図を悪意を持って入力されると、システムは「あ、ここで文章が終わったんだな」と勘違いしてしまいます。

その結果、システムは攻撃者が追加した「BCC: 攻撃先のメールアドレス」という偽の命令を、「ヘッダーの一部（手紙のヘッダー情報）」として読み込んでしまうのです。

これが「インジェクション（注入）」の正体です。本来の宛先だけでなく、全く関係のない第三者にもメールが送信されてしまうという、スパム送信の踏み台にされる悲劇が起きてしまいます。

—

多くの開発者が陥る罠は、「入力された文字が、そのままヘッダーとして解釈される」ことを想定していない点にあります。

例えば、件名に こんにちは\r\nBcc: evil@example.com と入力された場合、プログラムが「件名はここからここまで」と厳密に判断できていないと、メールサーバーは「お、Bccも追加で指定されたんだな！」と親切心で（？）受け取ってしまうのです。

これは、郵便局員さんに「この封筒、宛先はAさんだけど、Bさんにも届けてね」という偽のメモを、封筒の隅にこっそり貼り付けて渡すようなもの。郵便局員（メールサーバー）は、そのメモが正規のものか疑う術を持たないことが多いのです。

—

一歩ずつ対策を学んでいきましょう！防犯の基本は「怪しいものは通さない」ことです。

一番の対策は、ユーザーが入力した内容の中に「改行コード」が含まれていたら、強制的に消去することです。

// PHPでの対策例
$subject = $_POST[‘subject’];

// 改行コード（\r や \n）を空文字に置換して無害化する
$subject = str_replace([“\r”, “\n”], ”, $subject);

// これで、どんなに悪意ある改行コードを入れても、ただの文字列として扱われます

自分で「メールを組み立てる関数」を一から書くのは、プロでも非常に危険です。
今は、プロのエンジニアがセキュリティを考慮して作り上げた「ライブラリ（道具箱）」を使うのが鉄則です。

例えば、PHPであれば PHPMailer や Symfony Mailer を使うのが世界標準です。これらは内部でヘッダーの構築を適切に行い、改行コードによる誤作動を自動で防いでくれます。

// Symfony Mailer を使った安全な送信のイメージ
use Symfony\Component\Mailer\Mailer;
use Symfony\Component\Mime\Email;

$email = (new Email())
->from(‘info@your-site.com’)
->to($user_email)
->subject($user_input_subject) // ライブラリが安全に処理してくれる
->text(‘お問い合わせありがとうございます。’);

// ライブラリを使うと、インジェクションの心配から解放されます

—

メールヘッダーインジェクションのような攻撃は、決して難しいハッキング技術ではありません。しかし、「入力されたデータは、常に誰かが悪意を持って操作しようとしている」という前提に立つだけで、あなたのサイトの安全性は劇的に向上します。

たったこれだけの意識で、あなたのサービスという「大切な家」を守ることができます。セキュリティの世界は広いですが、まずはここから、一歩ずつ一緒に歩んでいきましょう。

何か分からないことがあれば、いつでも相談してくださいね。あなたの開発が、もっと安全で楽しいものになりますように！