入力エコー攻撃とは？フォーム入力でDMARC・BIMIを通過するフィッシングの手口と対策 | MailData

SPF・DKIM・DMARCがすべてpassし、BIMIのロゴまで表示されたフィッシングメールの実例から、送信側の対策を読み解く 2026年10月19日作成 著者: 竹洞 陽一郎 Webフォームの自動返信や、アカウント登録時の通知メールに、利用者が入力した内容をそのまま載せていませんか。 入力内容をメールの本文にそのまま載せること（本記事では「エコー」と呼びます）は、正規の署名付きメールを、攻撃者が作った文面のフィッシングメールに変えてしまう原因になります。 このエコーを悪用する攻撃を、MailDataでは「入力エコー攻撃」と名付けました。 本記事では、SPF・DKIM・DMARCがすべてpassし、BIMIのロゴまで表示されたフィッシングメールの実例を分析し、同じ原因による他の事例とあわせて、送信側と受信側が取るべき対策を解説します。 問題は仕様ではなく、推奨されている対策を実装していな

[fai_fx]

最近、意味の無い機械的な問い合わせフォーム投稿が頻発していたけど、応答メールの署名取得が出来るかスキャンされていたと考えると納得できる。

[orangehalf]

"署名は、楽天カードのドメイン（d=mail.rakuten-card.co.jp）の鍵で、楽天カードが利用する送信基盤が付与した本物です。攻撃者は署名を偽造したのではなく、正規に署名されたメールを手に入れて、そのまま再送しています。"

[nonsect]

勉強になった。凝ってるなぁ。

[nguyen-oi]

フォームの自動返信をエコーするだけでDKIMやBIMIごと悪用されるの盲点すぎるだろ

[dltlt]

考えてみれば、SPF／DKIMのうち片方のアライメントが合わなくても Dmarc がパスしちゃうのは不思議だな。メール配信 SaaS を使ってる組織に配慮してるから？

[gimonfu_usr]

　未読だけど　https://togetter.com/li/2758764　これかな？

[takehora]

DMARCのpassが示すのは、Fromのドメインが認証に関わったことで、本文を送信者が書いたことではない。棚卸し対象はSPF/DKIMの設定だけでなく、署名付きメールに外部入力を載せる全機能。