SESが不正利用された!?その調査と対応

AWSがスパム送信を検知するとSESからのメール送信を停止する恐れがあります。原因や日々のチェック方法などを集めましたので運用の参考にしてください。ビジネスへの重大な影響を防ぎましょう!

#セキュリティ

#Amazon SES

#AWS

瀬田安弘

2020.10.16

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

はじめに

クレデンシャルを適切に管理してますか?(時候の挨拶
SESが不正利用され、フィッシングを含むスパムメールの踏み台にされている事例を目にしました。これはいかんということで、調査と対応方法をまとめます。

AWSからどんな通知が来るか

SESに関する通知で、タイトルや本文に“vulnerability” “compromised” "phishing"が含まれている場合は要注意です。確認したら早急に対応を実行しましょう。

何がこまるか?

信用の失墜

あなたのドメインを利用してスパムメールが送信されていた場合、受信者はそのドメインのサービスに不安を覚えることになります。信頼感が失われることにより顧客離れが起き、利益損失が発生することが考えられます。また、フィッシング等で大規模な損害が発生した場合に、損害の保障を求められる可能性もありえます。

スパムメール送信によるSESの停止

AWSがスパム送信を検知するとSESからのメール送信を停止する恐れがあり、ビジネスへの多大な影響が懸念されます。

Q: Amazon SES のユーザーがスパムを送信しないよう、どのような方法で防いでいますか?

Amazon SES では、社内のコンテンツフィルタリングテクノロジーを使用して E メールコンテンツをスキャンし、スパムやマルウェアを確認します。スパムや悪意のあるコンテンツを送信していると判断されたアカウントは、E メールの送信機能が制限または停止されます。

バウンス率・苦情率の増加によるSESの停止

スパムメールの送信先が必ず到達するとは限りません。また、スパムメールを受信したユーザから苦情が報告されることが想定されます。これが一定値に達すると、AWSより警告があり、SESの停止に繋がることになります。自身はルールを守って使っていても、悪意の第三者のせいでSESの停止が発生することは避けたいですよね。

侵害のパターン

まず、以下の図を使って、SESがどういった経路で侵害されるか考えて見ましょう。

様々な経路がありますが、大まかには「SESの操作権限が奪われる」「SESを利用するサイトの脆弱性」のどちらかです。

SESの認証パターンを把握

まずは、ご自身のシステムが、SESに対してどの方法で認証しているか確認してください。
以下に認証方法をまとめます。公式ドキュメントも参考にしてください。

権限名	説明	参考情報
SMTP認証情報	SESへSMTP接続するためのSES専用IDとパスワード。SESコンソールで作成する。	Amazon SES SMTP 認証情報の取得
IAMアクセスキー	IAMユーザに紐ついた通常のアクセスキー。SESの操作権限が付与されている場合、SES API経由でメール送信が可能になる
IAMロール	SESの操作権限があるIAMロールがEC2やECS等のリソースにアタッチされていた場合、対象リソースからSESの操作が可能になる。