ちょっと待った！ SPAMで届いたURLを aguse Gateway で覗くのは危険だ！

あらゆるWebサイトを安全に閲覧できるという触れ込みのサービス、「aguse Gateway」β版の改良版というものが公開されたようです。

Webサイトも安全に閲覧、キャプチャブラウザ型ゲートウェイ「aguse Gateway」を改良 - ITmedia エンタープライズ

これ自体は素晴しいサービスで、2ちゃんねるに書き込まれていたURLにアクセスする時などには使えるかもしれません。ですが、あなたに届いたSPAMメールに記載されていたURLを aguse に書き込むのは、絶対にやめておいたほうが良いでしょう。そんなことをしたら、あなたに届くSPAMの量が何十倍にも膨れあがるかもしれません。

というのも、そのURLには、あなたのメールアドレスを識別するIDが含まれている可能性があるからです。そのようなID付きURLにアクセスしてしまうと、SPAM業者はそのアクセスログを確認することで、あなたのメールアドレスが「生きている」ことを知ってしまいます。生きているアドレスはSPAM業者には垂涎の情報です。おそらく業者間で高値で取引され、多数のSPAM業者からの大量のラブレターが届くことになるでしょう。

「俺は大丈夫。ID付きっぽくないURLだけ試すから。」

そう豪語する人も多いかと思いますが、それでは、次の問題にチャレンジしてみてください。

問題：次の5つのURLのうち、ID付きURLの可能性があるものを全て選びなさい。

(A)  http://blabla.example.com/?m=yourmail@example.com
       (注：yourmail@example.comはあなたのメールアドレス）
(B)  http://blight.example.com/?42
(C)  http://blue.example.com/message12324.html
(D)  http://bleach-192-168-0-272.example.com/
(E)  http://block.example.com/

以下は解答です。順番に見ていきましょう。

(A)は言うまでもなくアウトですね。URLのなかにメールアドレスがそのまま書いてあるので、SPAM業者としても手抜きが出来て便利ですが、さすがにこの形式のURLを堂々と書く業者はいないと思います。それでも、「受信拒否の方はこちら→ ...」みたいに、あたかも登録解除のURLのふりをして登場することはあるかもしれません。

(B)も、もちろんアウト。この形式がSPAMでは最も一般的な形式だと思います。おそらく、トップページがCGIになっていて、?以降の数字を記録するようになっているのでしょう。SPAMメールを送る際に、1通1通に別の番号を付けておき、「42番はyourmail@example.com」というのを覚えておけば、アクセスのあった数字から、どのメールが有効だったかを判別できます。

(C)になると、うっかり屋さんはアクセスしてしまいそうですが、これもアウトです。ファイル名の途中にある「12324」に、(B)の「42」と同じ働きを持たせている可能性があります。

(D)。これはどうでしょう。URLはドメインのトップページだから、IDは付いてなさそう？残念ながらこれもアウトです。サブドメインの部分に数字が入っていますね。これがIDです。サブドメインを大量に作るのは難しいと思っている人がいるかもしれませんが、実際には「サブドメインの所に何を指定しても、同じ特定のサーバーに飛ばす」という設定ができるので、サーバー1つで簡単に実現できます。

最後の(E)。ここまで来れば想像は付いているでしょう。これもアウトなんです。IDは別に数字とは限りません。この場合、blockという英単語がIDなのです。英単語というものは、世の中に何百万語とあるわけですし、2、3語の組み合わせも含めれば、数が足りなくなるということも無いでしょう。単語のリストは適当な辞書データを拾ってくるなり、wikipediaの見出し語を抜き出すなりすれば簡単に作成できます。

つまり、これらのURLは全部、ID付きの可能性があります。(E)ですらダメなのですから、実質、どんなURLであっても、SPAMメールに記載されているURLは aguse Gateway に入れてはいけないのです。
好奇心は猫をも殺す。君子危うきに近寄らず。触らぬ神に祟り無し。ですね。