「Gmail」がスパムマシンに--専門家が脆弱性を指摘

　Gmailが持つ「セキュリティ上の重大な脆弱性」がGoogleの同電子メールサービスをスパム送信マシンに変える。最近出されたセキュリティレポートが述べている。

　Information Security Research Team（INSERT）は、メールサービスプロバイダー間に存在する「信頼階層」を利用する概念実証コードを作成した。Googleがメッセージを転送する方法に存在する脆弱性を利用することで、スパマーは、GoogleのSMTPサービスから大量のメールを送ることができる。この時、Googleが設けている500通を超すメールの大量送信や身分詐称に関する対抗措置は迂回される。

　レポートによると、スパムの増加にともないメールプロバイダーは、知られているスパマーのIPアドレスを一掃するため、ホワイトリストやブラックリストを使っているという。Gmailは、信頼できるホワイトリストに分類されているので、メールは、スパムフィルタを迂回することができる。

　INSERTのレポートは、この脆弱性を利用するために特別なインターネット専門技術は不要だと述べている。

　この点において、このドキュメントは、脆弱性を報告するとともに、概念実証攻撃の方法についても提示する。この攻撃では、SMTP（TCPポート25）とHTTP（TCPポート80）サーバ以外へのアクセス権を特別に持っていない場合でも、Gmail Accountを攻撃して、ホワイトリストに載っているGoogleの巨大なSMTPリレーインフラストラクチャに対してほぼ無限なアクセスを得ることができる、ということを実証する。

　Googleは、このレポートについて、公式にコメントしていない。

　Googleが提供するツールは、これまでにもスパマーの標的になってきた。4月には、スパマーがGoogle Calendarを使用していたことが報じられている。