メールフォームを悪用した不正アクセスについて

メールフォームの悪用とは

サイト上に設置したお問い合わせ用などのメールフォームにおいて、悪意を持った人物がお問い合わせ内容にスパム（フィッシングサイトのURLや宣伝広告など）、連絡先欄に無関係な第三者のメールアドレスを入力して送信することで、自動返信機能により無関係な第三者へスパムメールを送信するという攻撃です。

メールフォームの悪用の流れ

このようなスパムメールが送信されるとメールの受信者に被害が及ぶだけでなく、サーバーが持つIPアドレスのレピュテーション（評判）が下がり、ブラックリストに登録される恐れがあります。ブラックリストに登録されると正常なメールでさえも送信できなくなるなどの問題が発生します。

メールフォームの悪用への対策

こういったメールフォームを悪用した不正アクセスには以下のような対策が有効です。

reCAPTCHAの導入

reCAPTCHAとはGoogleが無料で提供しているセキュリティ対策ツールです。
これにより人間からのアクセスかロボットからのアクセスかを判別し、ロボットからのアクセスの場合は何らかのアクションを要求するようになります。メールフォームの悪用を含め不正アクセスの大半はロボットによるもののため、reCAPTCHAの導入は対策として非常に効果的です。

プラグイン「Contact Form 7」を利用してメールフォームを設置している場合

「Google reCAPTCHA」にアクセスしてください。（Googleアカウントが必要です）
https://www.google.com/recaptcha/intro/v3.html
「Admin Console」をクリックしてください。

必要事項を入力し、送信をクリックしてください。

必要事項を入力

ラベル	サイトを容易に識別できるラベル（ブログのタイトルやURLなど）を入力します。
reCAPTCHA タイプ	「スコアベース（v3）スコアに基づいてリクエストを検証します」を選択します。
ドメイン	reCAPTCHAを導入したいサイトのドメインを入力します。
Google Cloud利用規約の同意	内容を確認のうえ問題なければチェックを入れます。

送信完了画面に記載されている、サイトキーおよびシークレットキーをコピーして控えておいてください。
WordPress管理画面を開き、左メニュー「お問い合わせ」-「インテグレーション」をクリックしてください。
「外部 API とのインテグレーション」の画面にてreCAPTCHAの「インテグレーションのセットアップ」をクリックしてください。
手順4にて控えておいたサイトキーおよびシークレットキーを入力し、「変更を保存」をクリックしてください。
以上でreCAPTCHAの導入設定は完了です。サイトにアクセスし、以下のようなアイコンが画面右下に表示されていることを確認してください。