ＭＬへとマルチポストです。

イッツコム246　海外からの大量迷惑メールで送受信障害（毎日）
http://www.mainichi.co.jp/digital/network/archive/200211/06/index.html

http://home.246.ne.jp/news/2002110501.html

攻撃っつうか単に日常的なスパム冤罪なだけなような。
ポーランドとかルーマニアも別にそこからというより、
単にスパムの中継地点なだけだろうって感じですが。

http://earth.endless.ne.jp/users/stakasa/spam/yuanzui/laji-yuanzui.html

　でも百種類以上というのは多いですね。
　他の冤罪被害でも一見同じ物がないように見えるくらい、
種類がたくさんある場合も報告されているんで
もはや米国のスパム請負業はかなり根付いてしまっているのでしょうか？

−−−−−−−−−−−−−−−−

　なぜここにわざわざ書くかというと、
英文スパムでは冤罪が日常だからであり、
上の「攻撃」という言葉はおそらく相応しくないであろうからです。
スパム問題に関して正しい知識を！ということで。

> 　なぜここにわざわざ書くかというと、
> 英文スパムでは冤罪が日常だからであり、
> 上の「攻撃」という言葉はおそらく相応しくないであろうからです。
> スパム問題に関して正しい知識を！ということで。

日本でもYahoo!やエキサイトのメールアドレスを返信先に指定している
「大ボケ」スパマーがいますが（ム○ーとかいう馬鹿ね）
過去に裁判沙汰になった前例があるのに、勇気のある事だと感心してしまいます。
早くYahoo!やエキサイトは営業妨害で訴えれば良いのにと思っているのは私だけ？

イッツコム経由の SPAM はうちにも 2通くらい来ていましたよ。
単純に From や Reply-To を偽装してるだけじゃなく
Received　を見てもイッツコムを通っているように書いてありました。
これも偽装でしょうか。それとも踏み台にされてしまっているのでしょうか。

新聞に載るほどすごいことになっているとは思わなかったので、
「踏み台にされてる可能性もあるので調査してみては」と
イッツコムにやんわりメールしてみましたが返事はなかったです（返事の要求もしませんでしたが）。
各方面からの問い合わせが殺到しているのでしょうね。

現在23万通だそうな…

>攻撃っつうか単に日常的なスパム冤罪なだけなような。
>ポーランドとかルーマニアも別にそこからというより、
>単にスパムの中継地点なだけだろうって感じですが。

そのエラーメールのヘッダ、見てみたいところですね。晒してくれないかしら。（笑
実在するドメインをエラーの戻り先にするのはDNSのチェックを回避するためでしょう
が、なんとも汚い手です。
この手の「騙り」による冤罪被害は、現在のシステムだと予めの予防が非常に困難で
す。エラーが来始めたらヘッダを解析して共通点を探し、それに対して対策を取る事
しか、今のところ手は無さそう。

似たようなのが短時間に連続して来始めたら管理者にアラームのメールが届くとか…

エラー戻り先がすべて実在するユーザーだった場合はもっと悲惨。

> この手の「騙り」による冤罪被害は、現在のシステムだと予めの予防が非常に困難で
> す。

　予防は全ての冤罪に関して大概無理ですね。重要なのは被害を
受け始めたときの適切、迅速な対応です。

> エラーが来始めたらヘッダを解析して共通点を探し、それに対して対策を取る事
> しか、今のところ手は無さそう。

　ところがですね、最近の傾向で共通が見つからない、すなわち
大元の接続先が全く出ない場合があるんですよ、中継を使うと。

　例の対策室で紹介している

hotmailへのスパムのエラーが大量に届き始めた事例(2002/05)
http://www.interq.or.jp/dragon/stakasa/spam/wforum-data/yuanzui05.htm

のパターンです。この時は送信先がhotmailだけだったのでそれで
（多分）解決したのですが。

　ただこの時にも指針はありました。中継サーバに問い合わせをして
ログから大元を判定することです。特に中継サーバに利用するのは
世界中のあちこちなんで、その中に日本の中継先もあったりしたんで
そこに問い合わせを行い始めました。

　ただ中継されるような所は管理も杜撰な所が多いんで、
それで本当に解決がついたかは分かりませんけどね。
＃結果的にはhotmailを通じて解決したようだし。

＃件のサーバの管理者はちゃんと分かっているんだろうなあ．．．対処の仕方。

> ＜現在の状況＞
> 　11月7日18時30分現在におきましても
> スパム(迷惑)メールが継続して送信され続けているため、
> 配信遅延は完全解決に至っておりません。
> 遅延時間は確認出来ているもので最大15時間となっております。
> 現在の対応は、メールサーバへの負荷を減少させるべく、
> スパム(迷惑)メールの削除を鋭意継続して行っており、
> 削除したメールはおよそ30万通となっております。
> また、サーバを追加し、合計4台にて配信しております。
> (4台の内1台を交互に削除作業を行っております)
> 　復旧の見込みにつきましては、スパム(迷惑)メールの配信が止まらない限り
> 状況は継続し配信遅延の解消に至りませんが、
> 更にサーバを追加する準備をいたしております。
> 246ユーザー各位におかれましては、今しばらくお待ち下さいますようお願い申し上げます。

　そりゃ止まらんだろうけど．．．ちゃんと止める努力をしてるんだろうなあ．．．
当サイトの例から言ってスパマーは使えなくなるまで履き潰すのが普通なのだけど．．．
追跡にしにくいspamの場合があるのは確かですけどね。

　むーらん様以外にイッツコムが詐称されたの英文スパムを受け取っている方は
おられませんでしょうか？ヘッダを頂けると参考になるのですが。

>> また、サーバを追加し、合計4台にて配信しております。
>> (4台の内1台を交互に削除作業を行っております)
>　そりゃ止まらんだろうけど．．．ちゃんと止める努力をしてるんだろうなあ．．．

>当サイトの例から言ってスパマーは使えなくなるまで履き潰すのが普通なのだけど．
>．．
>追跡にしにくいspamの場合があるのは確かですけどね。


結局1台のマシンで処理してるように読めますね。(^^;
交換して、外したマシンのメールを手作業で消してるとかは、まさか無いよね。
メールハブとかがあれば、そこで水際フィルタ出来ると思うのですが、どうも
フィルタリング出来てないような…

11月5日9時30分〜11月7日18時30分で30万ですから、1.5秒に1通って感じ。
非力なマシンだと、その処理だけで精一杯ってことなんでしょうか。
なんかよくわからんが、ちょっと首をかしげたくなる数字です。

> 結局1台のマシンで処理してるように読めますね。(^^;
> 交換して、外したマシンのメールを手作業で消してるとかは、まさか無いよね。
> メールハブとかがあれば、そこで水際フィルタ出来ると思うのですが、どうも
> フィルタリング出来てないような…
>
> 11月5日9時30分〜11月7日18時30分で30万ですから、1.5秒に1通って感じ。
> 非力なマシンだと、その処理だけで精一杯ってことなんでしょうか。
> なんかよくわからんが、ちょっと首をかしげたくなる数字です。

　昨年のアノ例もあるのであながちまさかとも言えなかったりする。

http://www3.tky.3web.ne.jp/~rapeed/2110.shtml#octo04

　すわっ！、スパマー逮捕の前触れ！？
ウソです。英文spamですのでどうで米国○郎。

　そういえば、ムトー関係を整理してて思い出しましたが、
http://www.interq.or.jp/dragon/stakasa/spam/wforum-data/muto4949.htm
にて対応が疑問視されていたことが．．．

　いや、まあ、最大限の努力をしていると信じましょう。
ちなみに不完全ではあるものの、
むーらん様の提示して下さったものを見ると他のIPアドレスが
残っていないので、まさしく「流行の巧妙な例」だと思うのですが
そうなると中継業者に解析を頼まなくちゃいけないんだけど．．．
やってますよねえ、きっと。

前言撤回撤回。

http://www.itscom.net/info/support/index_021108a.html

すでに解決したようです。ご苦労様でした。
−−−−−−−−−−
　ちなみにGeoの話は聞かなかったことにします（爆）。
って許して、Geoの方（^^;）。

>前言撤回撤回。
>
>http://www.itscom.net/info/support/index_021108a.html
>
>すでに解決したようです。ご苦労様でした。

まだ終わった訳じゃなくて、SPAMの送信者を騙られた場合、普通はこのあとSPAM
が届いてしまった人からの苦情が断続的に届き始めるのですが…
これは結構長引きます。

ウチでは「このアドレスはSpammerに詐称されたものです。リレーサーバーを確認
してください」という英文メッセージと共にエラーを返すようにしています。
やっぱ私は悪くないって言っておかないと。
英文はいいかげんなので見せられません。（笑　＃ｓａｇｅ

まだ削除してないので晒します（２通分）
どちらも To: の @以前と Reply-To: の@以前が同じ文字列になってます。
この@以前（アカウント名といっていいのかな）は
わたしのだったこともあれば、違う人のだったこともあります。

--10月末に来たもの----------------------------
> From: chevys@246.ne.jp
> Content-Transfer-Encoding: quoted-printable
> X-Priority: 3 (Normal)
> Received: from 0-8-15.ch by PWV59K.0-8-15.ch with SMTP for ********@*********.co.jp; Wed, 30 Oct 2002 19:07:26 -0500
> Content-Type: text/plain; charset=iso-8859-1
> Date: Wed, 30 Oct 2002 19:07:26 -0500
> X-Sender: chevys@246.ne.jp
> Reply-To: ********@2020.co.nz
> Subject: money for you= 100% legal
> Message-Id: <9PJRMF5XB9.92A8TK58NLJP5I4.chevys@246.ne.jp>
> To: ********@*********.co.jp;
>
> （ここから本文）
> PARENTS OF 15 - YEAR OLD - FIND $71,000 CASH HIDDEN IN HIS CLOSET!
>
> Does this headline look familiar? Of course it does. You most likely have just> seen this story recently featured on a major nightly news program (USA). And
> reported elsewhere in the world (including my neck of the woods - New Zealand)>
> （以下長いので中略）
>
>IMPORTANT: You may remove yourself from this mailing by utilizing our automated
> removal system at http://210.192.108.35/remove.html. This message is in full
> compliance with U.S. Federal requirements for commercial e-mail under bill
> s.1618 Title 111, Section 301, Paragraph (a) (2) (c) passed by the 105th U.S.
> Congress and cannot be considered SPAM since it includes a remove mechanism.


--11月に入ってからのもの----------------------------
> From: tas@246.ne.jp
> X-MSMail-Priority: Normal
> Received: from 246.ne.jp by 6GK66R7F8F.246.ne.jp with SMTP for ****@*********.co.jp Mon, 04 Nov 2002 18:58:13 -0500
> Date: Mon, 04 Nov 2002 18:58:13 -0500
> To: ****@*********.co.jp
> Reply-To: ****@246.ne.jp
> Message-Id: <RLSW8S7T941YAO393W7.6C9ATUB2WR8J731P8A63.tas@246.ne.jp>
> Subject: MONEY MAKER ; Proven and Inexpensive !!!
> Content-Transfer-Encoding: quoted-printable
> Content-Type: text/plain; charset="iso-8859-1"
>
> （ここから本文）
> All our mailings are sent complying to the proposed H.R. 3113 Unsolicited Commercial Electronic Mail Act of 2000. Please see the bottom of this message for further information and removal instructions.
>
> PARENTS OF 15 - YEAR OLD - FIND $71,000 CASH HIDDEN IN HIS CLOSET!
>
> Does this headline look familiar? Of course it does. You most likely have just> seen this story recently featured on a major nightly news program (USA). And
> reported elsewhere in the world (including my neck of the woods ・New Zealand)>
> （以下長いので中略）
> You may utilize the removal link below if you do not wish to receive this
> mailing. http://61.129.78.34/remove.html
----------------------------------------------------

改めて見なおしてみると、
IPアドレスが見えていないので偽装なのかもしれませんね。
メールの本文は、それぞれ微妙に違うみたいなんですけど、
長くてウザイので細かく読む気にはなれません。

これと同様の広告が
tas@1001line.dk
tas@yahoo.ca
jimmy@yahoo.ca
chevys@04.mchn3.telekom400.dbp.de
chevys@129.g-box.fido.hr
abbey@uole.com
hiro-kik@06kir4.icnet.ems.vsnl.net.in

などからも送られて来てます。
まだ削除してないです。ヘッダもいります？

　有り難うございます。ただ．．．．

> まだ削除してないので晒します（２通分）
> どちらも To: の @以前と Reply-To: の@以前が同じ文字列になってます。
> この@以前（アカウント名といっていいのかな）は
> わたしのだったこともあれば、違う人のだったこともあります。

　むーらん様、これマズイなあ（^^;）。
あ、よく読んだら御自分でもおっしゃっていますね。

　何かというと、nifty状態です。

http://earth.endless.ne.jp/users/stakasa/spam/wforum/wforum.cgi?mode=allread&no=5311&page=12

> Received: from 246.ne.jp by 6GK66R7F8F.246.ne.jp with SMTP for ****@*********.co.jp Mon, 04 Nov 2002 18:58:13 -0500

　　　　　　　　↑↑ここなんですが、ドメイン名は詐称できちゃうんですよ。
本当はここが
246.ne.jp（yyyyy.com[xxx.xxx.xxx.xxx]）
とかなっていて、そのxxxのIPアドレスから辿るんですが、
それが残っていないのでたどれません。

　ただしお使いの環境が会社のサーバならば、
何らかの理由でお手元に届くまでにわざとIPを消している可能性があるので
niftyの場合と違って一概に問題とは言えません。
サーバ管理者に聞いてみて下さい、としか言えません。

　あ、いや、その前に消しているか断定は出来ないですね。
他の真っ当なユーザから受け取ったメールのヘッダも見ないと。
そのヘッダでも[xxx.xxx.xxx.xxx]というIPアドレスがないなら、
上の通りです。

　真っ当なユーザからのメールはxxxがついているのに
今回のスパムがついていないなら．．．
相当な輩です。

>
> 　むーらん様、これマズイなあ（^^;）。
> あ、よく読んだら御自分でもおっしゃっていますね。
>

まずいですかねえ？
いちおう イッツコムには言いましたけど、
きつく文句を言ったつもりは全然ないのです。
「こういうの来てるから、大事になる前に調査したほうがいいよ」と。

管理者の人にしてみればそういうことがいちいちウザイのかもしれませんが
もし不正使用でもされてるんだと困るじゃないですか。
なので、いちおう言っておこうかなぁと思って。
そしたら想像以上に大変なことになってたんです。

> > 　むーらん様、これマズイなあ（^^;）。
> > あ、よく読んだら御自分でもおっしゃっていますね。
>
> まずいですかねえ？
> いちおう イッツコムには言いましたけど、
> きつく文句を言ったつもりは全然ないのです。
> 「こういうの来てるから、大事になる前に調査したほうがいいよ」と。
>
> 管理者の人にしてみればそういうことがいちいちウザイのかもしれませんが
> もし不正使用でもされてるんだと困るじゃないですか。
> なので、いちおう言っておこうかなぁと思って。
> そしたら想像以上に大変なことになってたんです。

　あれ？話が伝わっていないかもしれませんが．．．．

　うん？改めて見ても「？」なんですが御呈示して下さった
ヘッダに[xxx.xxx.xxx.xxx]がないのは通常、受け手側の責任なんですよ。
つまりむーらん様のサーバがどうしてこういうヘッダを残しているんだろう、
ということになるんです。
　で、forからすると会社のメールアドレスなのではないでしょうか？
ということは、とりあえずイッツコムの話はおいておいて、
そのむーらん様側のサーバがIPアドレスを残さなかったことが問題なわけで（汗）。

　一応確認しておくと、

・むーらん様の受けているサービスはイッツコムに関係がない
・上で提示されているのがむーらん様が各メールで見ることの出来た
ヘッダ全体

ですよね。
　ということで、上のヘッダだけを見る限り、

「スパマーがなんかすごいことをやってそういうヘッダしか残らない技をしたのか、
むーらん様のサーバがIPアドレスをつけないようにしているか、
それどころかむーらん様のサーバでごっそり最後のReceived行を取っている可能性もある」

と言いたいんですね。よろしければ私のメールアドレス宛でも良いですので、

・スパマーではない、真っ当な所から届いたメールのヘッダ

を見せていただけますか？無論、会社名やアカウントなどの一番大事な所は
xxxにしても良いので。

こちらも「？」です(汗)
冤罪の話から始まっていたので、
苦情の是非について言われたのかと思ったのですが。
何か変だったでしょうか。

ともかく管理人様がおっしゃりたいのは
メールサーバーがマズイことをしてるという意味なのですね？
そういう意味だとすれば
あまりウマイことはないサーバかもしれません。
隠す必要もないと思うので言いますが
先の SPAM が届いたのは geocities.co.jp です。

言われて気になったので知人から来たメールのヘッダをいくつか
hdpar にかけてみたのですが、
上策の苦情先がみつかるものもあれば
IP アドレスがすっかり隠されているものもあります。
どうも条件がよくわかりません。

ジオなど今更ではないかと思うのですが
ヘッダは必要でしょうか。
（最初からジオだって言えばよかったですね、すみません）

> こちらも「？」です(汗)
> 冤罪の話から始まっていたので、
> 苦情の是非について言われたのかと思ったのですが。
> 何か変だったでしょうか。
>
> ともかく管理人様がおっしゃりたいのは
> メールサーバーがマズイことをしてるという意味なのですね？

　すみませんでした。話の流れとしては多分

むーらん様：「自分の所にもイッツコム経由らしきメールが来ていた」
高崎：「ヘッダ見たい」
むーらん様：Receivedのドメイン名にイッツが書いてある。でもIPアドレスがない。
高崎：「IPアドレスがないのはそもそもおかしい。
IPアドレスがないのは普通受け手側に問題がある。
IPアドレスがなければ信用しようがないので
イッツを経由しているともいないとも全く言えない
（↑とはっきり書くべきでしたね）」

というつもりでした。

．．．．で、geoでしたか〜。ああ、それならco.jpでも気楽に話せますな。
．．．ってむしろ一層マズイんじゃないかと言う気もしますが所詮無料？

で、実は私も昨年９月からGeoで頁を一部作っており
IDを持っているため、
「メールなんて使えたかな」と思って調べたのですが
どうもメールサービスの新規は昨年７月で停止、
smtpも４月から停止と言うことでgeoがyahooに吸収された
影響をもろに受けているようですね。

ということで昨年７月以前から持っていた人しか試せません（+_+）

> 言われて気になったので知人から来たメールのヘッダをいくつか
> hdpar にかけてみたのですが、
> 上策の苦情先がみつかるものもあれば
> IP アドレスがすっかり隠されているものもあります。
> どうも条件がよくわかりません。

あっちゃー。う〜ん、引用なさったspamから推察するに．．．
その「すっかり隠されている」というのはhdparで
ひっかかるかはともかく、人間が確認しても４つの羅列数字自体すらない！？
ということですね？

　それはかなり重傷かもしれません（^^;;）。
　で、hdparで出てくるものもあるという記述と、
spamのヘッダを見るに、IPアドレスを削るどころではなくて、
Geoがメールを受け取ったときにそもそもRecieved行を残していない！
という、結構とんでもないパターンなのかも。

というのは、通常、
http://www2g.biglobe.ne.jp/~stakasa/spam/jiexiheader.html
で書いているように、自分側のサーバ名は、すべてのReceived:行のうち
少なくとも一カ所（上のBIGLOBEでは３カ所ですが）には
ないといけないハズなんです。
　つまりその行がないというのは．．．

家族：「あんたー、はい、これ。」
自分：「何これ？」
家族：「誰かが届けに来た」
自分：「誰？どんな人？様子は？」
家族：「さあ、全然見てなかった」
自分：「．．．．．」

てな状態です。う〜ん、geoってそんな剛毅なことをしているのかしら。
無料な上に、なんか停止へ向かってまっしぐらなような
サービスだから許されるんでしょうか？

　少なくともYahooメールではそういうことはないです。
私は十二分に使っていてムトーの苦情もガンガン送ってました。
Yahooアドレス宛スパム用の苦情フォーマットも作りました。

　今回のGeoに関しては気になる気もしますけど、
あんまり知ると心臓に良くないんで（汗）、
しかも上記のような性質のサービスなんで今更、部外者の私が
niftyのように声をあげる気にもならず．．．．

　誰か他のGeoメール使っている方と話し合って下さい（爆）。

> spamのヘッダを見るに、IPアドレスを削るどころではなくて、
> Geoがメールを受け取ったときにそもそもRecieved行を残していない！
> という、結構とんでもないパターンなのかも。
（略）
> 　誰か他のGeoメール使っている方と話し合って下さい（爆）。
うちに眠ってるアカウントあったんで試してみました（爆）。

送信パターンは以下の通りです
MUA===>MTA#1(自宅サーバ)===>MTA#2(Geocities)

1)MUA===>MTA#1で MTA#1は Received: をつけるのですが、
2)MTA#1===>MTA#2で MTA#2は Received: を一切つけません。
ですから、メールヘッダではいきなり1)のReceived:がついています。

えーと、つまりですね、完全偽装が可能ということでファイナル
アンサーです。

> 人間が確認しても４つの羅列数字自体すらない！？

たとえばこんなふうです。
---------------------------------------------------------------------------
Received: (qmail 61583 invoked by uid 65534); 7 Nov 2002 19:20:19 +0900
---------------------------------------------------------------------------
goo のフリーメール（webメール）から自分に送ってみたものなんですが
IP アドレスはついてないですよね。
でも、メール転送サービス経由でジオに送ると
IP アドレス付きの Received: がいくつか付いてきたりします。


> MUA===>MTA#1(自宅サーバ)===>MTA#2(Geocities)
> 1)MUA===>MTA#1で MTA#1は Received: をつけるのですが、
> 2)MTA#1===>MTA#2で MTA#2は Received: を一切つけません。
> ですから、メールヘッダではいきなり1)のReceived:がついています。

少しわかったような気がします。
話がおっぴろがってしまわないように
今はわかった気になっておきます。
ありがとうございました(_○_)


> 誰か他のGeoメール使っている方と話し合って下さい（爆）。

そうします(^-^;
ジオメールはいずれ POP サービスも終了してしまうでしょうから
ジオに改善を要求してもあまり意味はないような気がします。
いずれなくなるアカウントと思ってあきらめるのが吉でしょう。

> で、実は私も昨年９月からGeoで頁を一部作っており
> IDを持っているため、
> 「メールなんて使えたかな」と思って調べたのですが
> どうもメールサービスの新規は昨年７月で停止、
> smtpも４月から停止と言うことでgeoがyahooに吸収された
> 影響をもろに受けているようですね。
>
> ということで昨年７月以前から持っていた人しか試せません（+_+）
>
> > 言われて気になったので知人から来たメールのヘッダをいくつか
> > hdpar にかけてみたのですが、
> > 上策の苦情先がみつかるものもあれば
> > IP アドレスがすっかり隠されているものもあります。
> > どうも条件がよくわかりません。
>
> あっちゃー。う〜ん、引用なさったspamから推察するに．．．
> その「すっかり隠されている」というのはhdparで
> ひっかかるかはともかく、人間が確認しても４つの羅列数字自体すらない！？
> ということですね？

死蔵アカウントを持っていましたので、
テストしてみた所、どうも塩側（geo側）のRecievedが有りません。
一つ手前が出ます。
--------------WakWakで送った物--------------
Received: from am.wakwak.com (am.wakwak.com [211.9.230.130:25])
by vckyb3.nw.wakwak.com (Postfix) with ESMTP id 299AF3FE29
for <******@geocities.co.jp>; Thu, 7 Nov 2002 20:38:51 +0900 (JST)
Received: from AFELANDRA (*******.as.wakwak.ne.jp [61.205.234.194])
by am.wakwak.com (8.12.6/8.12.6/2002-09-12) with SMTP id gA7Bcn1M050986
for <******@geocities.co.jp>; Thu, 7 Nov 2002 20:38:50 +0900 (JST)
(envelope-from *********@am.wakwak.com)
--------------自分のサーバから出した物--------------
Received: from AFELANDRA (unknown [192.168.123.3])
by mail.afelandra.com (Postfix) with ESMTP id 541C41440C
for <******@geocities.co.jp>; Thu, 7 Nov 2002 20:33:19 +0900 (JST)
--------------マリンネットから出した物--------------
Received: from AFELANDRA (*******.as.wakwak.ne.jp [61.205.234.194])
by po6.chan.ne.jp (8.9.3/3.7W/001110) with SMTP id VAA37863
for <******@geocities.co.jp>; Thu, 7 Nov 2002 21:33:29 +0900 (JST)
----------------------------------------------------

仮に、スパマーがローカルにサーバーを立てていると、
ローカルのアドレスと、自称ドメイン名しか分かりません。

Yahooへのサービス移行を勧めていますので、
多分抗議しても握りつぶされるに500カノッサをレイズします。

geocities固有のメールアドレスを複数持っています。
管理人様がおっしゃっておられる通り、geocitiesは今年からメールのサービスを
yahooに移管し、それまでのgeocities提供メールアドレス(無料)は、
popサービスのみとして、smtpサービスを停止しました。
今後縮小方向→消滅に向かうものと思われます。
なので、情報を出しても今更かなあ、と考えはしたのですが、
一応、すぐなくなるサービスというわけでもないので、スパムではない、通常のメールヘッダを
参考までに出してみましょう。

まず、本日受信した分。他のメールもReceived行は全て同じ状態です。
ちなみに、HiTeensコミュニティーにあるページの分です。
------------------
Received: (from dbuser@localhost)
by *******.rakuten.co.jp (8.11.6/8.11.6) id gA75Efi73736;
Thu, 7 Nov 2002 14:14:41 +0900 (JST) (envelope-from dig-news-master@********.rakuten.co.jp)
Date: Thu, 7 Nov 2002 14:14:41 +0900 (JST)
Message-Id: <200211070514.gA75Efi73736@*******.rakuten.co.jp>
To: honoka_e@geocities.co.jp
From: Rakuten Digital News <digital@emagazine.rakuten.co.jp>
Subject: 七五三おめでとう！電撃セールも７５３！【楽天デジタルニュース】(2002/11/07)
Mime-Version: 1.0
Content-Type: multipart/alternative; boundary="----=_Part_3_2558449.1036639165259"
X-R-news: 20021107digi-h;********@geocities.co.jp

全く違うコミュニティTechnopolisで開いているページに付属するアドレス
これは11月7日分
----------------------
Received: (qmail 17397 invoked from network);
31 Oct 2002 15:44:50 -0000
Received: from unknown (192.168.1.40)
by ac03.netbees.clubbbq.com
with QMQP;
31 Oct 2002 15:44:50 -0000
Message-ID: <20021031154450.4548.qmail@acdb.netbees.clubbbq.com>
Date: Fri, 01 Nov 2002 00:20:23 +0900
To: alfred_f@medic.club.ne.jp
From: CLUB BBQ <oneway@clubbbq.com>
Subject: CLUB BBQ Media Express
Content-Type: text/plain; charset=iso-2022-jp
Content-Transfer-Encoding: 7bit

上のアカウントで８月に受信した分
------------------
Received: from ****** ([**.***.**.***])
by e12-d5.data-hotel.net (8.11.1/3.7W)
with SMTP id g76D1Zj21314 for <********@geocities.co.jp>;
Tue, 6 Aug 2002 22:01:35 +0900 (JST)
MIME-Version: 1.0
Date: Tue, 6 Aug 2002 22:01:25 +0900
Subject: (伏せ)
From: **** <******@orihime.net>
To: **** <********@geocities.co.jp>
Message-ID: <JO20020806220125.15798967@orihime.net>
Content-Type: text/plain; charset=iso-2022-jp
Content-Transfer-Encoding: 7bit
X-Mailer: JsvMail 4.0 (Shuriken Pro2)
X-Priority: 3

少なくとも今年の8月30日までは、Recieved行は欠落がなかった模様。

さて、geocities.co.jpのメールは他へ転送もできるわけですが、転送した場合は
------------------
Return-Path: <*******@******.***>
Delivered-To: ******@****.freemail.ne.jp
Received: (qmail 27674 invoked from network);
7 Nov 2002 21:57:16 +0900
Received: from unknown (HELO sv03.geocities.co.jp) (210.153.89.186)
by plum.freemail.ne.jp
with SMTP;
7 Nov 2002 21:57:16 +0900
Received: from ml01.geocities.co.jp (ml01.geocities.co.jp [210.153.89.162])
by sv03.geocities.co.jp (8.11.6+3.4W/8.11.6)
with ESMTP id gA7CvGK12404 for <*******@****.freemail.ne.jp>;
Thu, 7 Nov 2002 21:57:17 +0900 (JST) (envelope-from *******@******.***)
Received: from ***.*******.ne.jp (***.******.ne.jp [210.230.84.13])
by ml01.geocities.co.jp (1.3G-8.9.3/GeocitiesJ-3.0)
with SMTP id VAA16087 for <*****@geocities.co.jp>;
Thu, 7 Nov 2002 21:57:17 +0900 (JST)
Message-Id: <200211071257.VAA16087@ml01.geocities.co.jp>
Received: (qmail 2803 invoked from network);
7 Nov 2002 12:57:16 -0000
Received: from unknown (HELO managarm) (218.229.221.201)
by 0
with SMTP;
7 Nov 2002 12:57:16 -0000
Date: Thu, 07 Nov 2002 21:57:53 +0900
From: **** <*******@******.***>
To: *****@geocities.co.jp
Subject: テスト送信
MIME-Version: 1.0
Content-Type: text/plain; charset="ISO-2022-JP"
Content-Transfer-Encoding: 7bit
X-Mailer: Becky! ver. 2.00.11　＃ｓａｇｅ

うわ〜、つぎからつぎへと…(笑)
管理人様の心臓が止まらないようお祈りします。
また何か面白い(?) SPAM が来たら報告にきます。

> エラー戻り先がすべて実在するユーザーだった場合はもっと悲惨。

数名のスパマーが、わたしの複数のアドレスを戻り先にしています。数は多くないのですが、もとの分をSpamcopに送っています。

長いけれど...
以下ヘッダと本文まるごとです
----------
From MAILER-DAEMON＠aol.com Thu Nov 7 05:09:12 2002
Return-Path: <MAILER-DAEMON＠aol.com>
Received: from smtpin03-en2.ふみ.com ([10.13.10.148]) by
ms02.ふみ.com (Netscape Messaging Server 4.15) with ESMTP id
H567ZB00.S0X for <ふみ＠ふみ.com>; Wed, 6 Nov 2002 12:09:11 -0800
Received: from mailgate.cesmail.net (mailgate.cesmail.net [204.214.92.120])
by smtpin03-en2.ふみ.com (8.12.3/MantshX 2.0) with SMTP id gA6K98ZS021991
for <ふみ＠ふみ.com>; Wed, 6 Nov 2002 12:09:08 -0800 (PST)
Received: (qmail 27766 invoked from network); 6 Nov 2002 20:09:08 -0000
Received: from unknown (HELO alpha.cesmail.net) (192.168.1.155)
by mailgate.cesmail.net with SMTP; 6 Nov 2002 20:09:08 -0000
Received: (qmail 6341 invoked by uid 1010); 6 Nov 2002 20:09:08 -0000
Delivered-To: spamcop-net-ふみ＠spamcop.net
Received: (qmail 6334 invoked from network); 6 Nov 2002 20:09:08 -0000
Received: from unknown (HELO mailgate.cesmail.net) (192.168.1.101)
by alpha.cesmail.net with SMTP; 6 Nov 2002 20:09:08 -0000
Received: (qmail 27757 invoked from network); 6 Nov 2002 20:09:07 -0000
Received: from mailgate.cesmail.net (204.214.92.120)
by mailgate.cesmail.net with SMTP; 6 Nov 2002 20:09:07 -0000
Received: (qmail 27743 invoked from network); 6 Nov 2002 20:09:07 -0000
Received: from unknown (HELO mailgate.cesmail.net) (192.168.1.101)
by mailgate.cesmail.net with SMTP; 6 Nov 2002 20:09:07 -0000
Received: from po.ふみ.or.jp [203.141.128.44]
by mailgate.cesmail.net with POP3 (fetchmail-5.9.0)
for fetchmail＠192.168.1.101 (single-drop); Wed, 06 Nov 2002 15:09:07 -0500 (EST)
Received: from omr-m03.mx.aol.com (omr-m03.mx.aol.com [64.12.138.3]) by mx2.ふみ.or.jp (8.11.1/3.5Wpl7) with ESMTP id gA6Jvs161490 for <ふみ＠ふみ.or.jp>; Thu, 7 Nov 2002 04:57:54 +0900 (JST)
Received: from rly-nb04.mx.aol.com (rly-nb04.mail.aol.com [172.20.65.132]) by omr-m03.mx.aol.com (v87.21) with ESMTP id RELAYIN10-1106145721; Wed, 06 Nov 2002 14:57:21 -0400
Received: from localhost (localhost)
by rly-nb04.mx.aol.com (8.8.8/8.8.8/AOL-5.0.0)
with internal id OAA08951;
Wed, 6 Nov 2002 14:57:21 -0500 (EST)
Date: Wed, 6 Nov 2002 14:57:21 -0500 (EST)
From: Mail Delivery Subsystem <MAILER-DAEMON＠aol.com>
Message-Id: <200211061957.OAA08951＠rly-nb04.mx.aol.com>
To: <ふみ＠ふみ.or.jp>
MIME-Version: 1.0
Content-Type: multipart/report; report-type=delivery-status;
boundary="OAA08951.1036612641/rly-nb04.mx.aol.com"
Subject: Returned mail: User unknown
Auto-Submitted: auto-generated (failure)
X-UIDL: aW(#!KBa!!\＠D!!RnX"!
X-SpamCop-Checked:

This is a MIME-encapsulated message

--OAA08951.1036612641/rly-nb04.mx.aol.com

The original message was received at Wed, 6 Nov 2002 14:57:10 -0500 (EST)
from adsl-66-122-50-163.dsl.sntc01.pacbell.net [66.122.50.163]


*** ATTENTION ***

Your e-mail is being returned to you because there was a problem with its
delivery. The address which was undeliverable is listed in the section
labeled: "----- The following addresses had permanent fatal errors -----".

The reason your mail is being returned to you is listed in the section
labeled: "----- Transcript of Session Follows -----".

The line beginning with "<<<" describes the specific reason your e-mail could
not be delivered. The next line contains a second error message which is a
general translation for other e-mail servers.

Please direct further questions regarding this message to your e-mail
administrator.

--AOL Postmaster



----- The following addresses had permanent fatal errors -----
<babbs_07044＠netscape.net>

----- Transcript of session follows -----
... while talking to air-nb05.mail.aol.com.:
>>> RCPT To:<babbs_07044＠netscape.net>
<<< 550 MAILBOX NOT FOUND
550 <babbs_07044＠netscape.net>... User unknown

--OAA08951.1036612641/rly-nb04.mx.aol.com
Content-Type: message/delivery-status

Reporting-MTA: dns; rly-nb04.mx.aol.com
Arrival-Date: Wed, 6 Nov 2002 14:57:10 -0500 (EST)

Final-Recipient: RFC822; babbs_07044＠netscape.net
Action: failed
Status: 5.1.1
Remote-MTA: DNS; air-nb05.mail.aol.com
Diagnostic-Code: SMTP; 550 MAILBOX NOT FOUND
Last-Attempt-Date: Wed, 6 Nov 2002 14:57:21 -0500 (EST)

--OAA08951.1036612641/rly-nb04.mx.aol.com
Content-Type: message/rfc822

Received: from ふみ.or.jp (adsl-66-122-50-163.dsl.sntc01.pacbell.net [66.122.50.163]) by rly-nb04.mx.aol.com (v89.10) with ESMTP id MAILRELAYINNB41-1106145708; Wed, 06 Nov 2002 14:57:08 -0400
Received: from 34.83.200.159 ([34.83.200.159]) by smtp4.cyberecschange.com with local; 07 Nov 2002 03:58:40 -0800
Reply-To: <ふみ＠ふみ.or.jp>
Message-ID: <035a20c62a4c$1332d4c7$7de21cb5＠rcbwof>
From: <ふみ＠ふみ.or.jp>
To: ふみ＠ふみ.or.jp
Subject: Hey Whats Up
Date: Wed, 06 Nov 2002 21:50:39 -0200
MiME-Version: 1.0
Content-Type: multipart/mixed;
boundary="----=_NextPart_000_00D1_18A40A2D.C2385B14"
X-Priority: 3 (Normal)
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook Express 5.50.4133.2400
Importance: Normal
X-AOL-INRLY: adsl-66-122-50-163.dsl.sntc01.pacbell.net [66.122.50.163]

------=_NextPart_000_00D1_18A40A2D.C2385B14
Content-Type: text/plain; charset="iso-8859-1"
Content-Transfer-Encoding: base64


Tm8gbW9yZSBvZiB0aGUgbG9uZWx5IG5pZ2h0cyBzdGF5aW5nIGF0IGhvbWUu
IE15UGhvdG9QZXJzb25hbC5jb20gb25seSBpbmNsdWRlcyAxMDAlIHZlcmlm
aWVkIG1lbWJlcnMgd2l0aCBwaG90b3MuIEV2ZXJ5b25lIGlzIHJlcXVpcmVk
IHRvIHN1Ym1pdCBJRC4NCk1lZXQgcmVhbCB3b21lbi4NCk5vIG1vcmUgZ2Ft
ZXMNCmh0dHA6Ly93d3cubXlwaG90b3BlcnNvbmFsLmNvbQ0KMzk0MlhtbDY=

--OAA08951.1036612641/rly-nb04.mx.aol.com--

> > エラー戻り先がすべて実在するユーザーだった場合はもっと悲惨。
>
> 数名のスパマーが、わたしの複数のアドレスを戻り先にしています。
> 数は多くないのですが、もとの分をSpamcopに送っています。

　まずいです。SpamCopに送っても埒があかない可能性があります。
冤罪被害者がアクションをかけるのと、スパム被害者がアクションを
かえるのには大きな差があります。
＃というかなければならないんですが、あとはネット業者の判断。

　とりあえず、
http://earth.endless.ne.jp/users/stakasa/spam/yuanzui/laji-yuanzui.html
は読んでいらっしゃいますかね？
大事なのは５章ですが。

　比較的自力で出来るように書いてありますが、すべて自力なのも大変ですし、
いろんなパターンがあるので、もし協力して貰う可能性を出したのなら
いくつか（５〜１０）ほど、エラーメールの「本文の」内容を
書き出して下さいませ。
　被害が５以下ならば材料が少ないんでちょっと対処方針の判断が難しいかも。

　ふみ様はspamも多いし、そして対応もいろいろしてきたから、
目を付けられちゃったのかもしれませんね。
とはいっても別にふみ様に特に悪意があるというわけではなく、
「たまたまスパマーの目に留まった」というだけですが。

　早急に解決できると良いのですけど。

ご指導ありがとうございます。

ずいぶん前からエラーメールが大量に届いて、数時間後に「remove」がたくさん届くことがありました。いずれも１月も経つと来なくなるので、定期的に入れ替えているのでしょうね。量的にものすごいという量ではなかったのが幸いだったといえるでしょう。

SpamCopのオプションコメントに対応依頼をいれてみましたが、続くようでしたら生メールでせめてみようと思います。

>SpamCopのオプションコメントに対応依頼をいれてみましたが、続くようでしたら生メ
>ールでせめてみようと思います。

Spamcopが冤罪被害まで対応するかどうか。下手すると自分の所がBlackList入りで自滅ってこ
とありませんかね？

基本的にSpammerの使ったISPを探し出して丁寧に説明してメールやログも付けて苦情を出す手
しかないと思います。

当方の場合は冤罪被害は、そう多い事例ではないのですが、原因がわかればすぐさま対応して
くれるISPも結構ありました。

ウチの最近のログ
ordbを使って第三者中継のテストをしたやつがいます。デンマークの@Homeユーザーでした。
当然ウチは全て弾きましたが、ordb.orgとかrbl.jpとかのSpamチェックがあった場合、Spammer
が踏み台として使えるかどうかテストしてる可能性が高いので、その後の監視は怠りなくしない
とやばいです。
現在 gta.igs.net ってとこから第三者中継のアタックが止まりません。管理者に苦情を送って
も知らん顔です。あほー！

> >SpamCopのオプションコメントに対応依頼をいれてみましたが、続くようでしたら生メ
> >ールでせめてみようと思います。
>
> Spamcopが冤罪被害まで対応するかどうか。下手すると自分の所がBlackList入りで自滅ってこ
> とありませんかね？
>
> 基本的にSpammerの使ったISPを探し出して丁寧に説明してメールやログも付けて苦情を出す手
> しかないと思います。

　SpamCopは本文中のURL、連絡先メールアドレスを除いては、基本的にIPアドレスしか
利用しないので、IPアドレスさえ詐称されていなければBL入りになることはないと
思いますが．．．．しかしspamcopはあくまでアンチスパマーの観点から作られたツールで
冤罪に関してかならずしも敏感ではなく、浪人様が危惧するように
冤罪被害者がspamcopを使うのはかなり危険だと考えます。

　浪人様の言うようにあくまで自分からの直接メール要請が良いと思います。
対策調査室には英語のサンプルも挙げていますので参照して下さい。

> 当方の場合は冤罪被害は、そう多い事例ではないのですが、原因がわかればすぐさま対応して
> くれるISPも結構ありました。

　なお、今までの状況によると、一パターンとして
スパマーが特定のISP（hotmail、aolなど）に送りつけるメールのエラーが
冤罪被害者の元へ届く場合もあります。
＃違うISPに対しては別な詐称を用いているのか、それともあくまで
＃そのスパマーはそのISP専門かは不明
この際にその特定のISPに連絡すれば
そのスパムに関する冤罪被害者へのエラーを止めてくれる可能性があります。
＃あ、これ書き忘れているなあ。

いろいろとご指導ありがとうございます。
今回のは収まった模様です。過去のものも数日で収まりましたが、油断していると大きなものが来るのかもしれませんね。

> > Spamcopが冤罪被害まで対応するかどうか。下手すると自分の所がBlackList入りで自滅ってこ
> > とありませんかね？

SPAMCOPでは、From: とReturn-Path: は無視していますので、大丈夫かと思っています。Received: fromや本文にわたしのＩＰが入ってしまうと自滅でしょう。これは気をつけています。

次に戻り先にされたときは、直接ＩＳＰに交渉します。
ありがとうございました。　＃ｓａｇｅ