
2026/06/24 5:23
スパム送信によるメールアドレスの確認を行わないでください
RSS: https://news.ycombinator.com/rss
要約▶
Japanese Translation:
概要:Pangram の
/api/validate-email エンドポイントは、登録フォームに入力されたあらゆるメールアドレスに対してフィルタリングなしで即座に無断のスパムを送信するように誤設定されています。このスパムは、拒絶後に再試行を行う複数の IP アドレスとローテートする送信者ドメイン(例:aliyah@sifgoldenshine.com、その他 25 以上)から発信されており、一部のアドレスは DNSBL(例:spam.spamrats.com および b.barracudacentral.org)で既にブロックされています。メールの件名には「Fact of the day: Magnetic」のようなものが見られ、よくエラー(例:554)とともにバウンスします。メール本文にはベース 64 でエンコードされた HTML が含まれており、復号化すると「magnetic domains」という記述のある不整合なテキストとして現れます。ログには、milek7.pl の postfix/smtpd から拒絶される内容が表示され、エラーコードには 554 が含まれ、メッセージ ID は 53EB982421 などです。Pangram の正当な取引用メール(Mailgun を介して送信)とは異なり、この悪用はユーザーが登録を試みる時点でユーザーのメールアドレスを漏洩させ、意図に関わらず大量のスパムに晒します。これは、Pangram を検証用途として使用している組織に対して著しい評判リスクおよび潜在的な法的責任を生じさせるものです。さらにの漏洩を阻止し信頼を回復するためには、偽のドメインおよび IP アドレスを直ちにブロックし、緊急の是正措置を実施する必要があります。本文
パングラムから届いた「有効化スパム」の真相
背景と問題点
メールアドレスの有効性確認に関する議論において、多くの開発者が事前検証をせず、ただリンクを送付して完了とするというアプローチが推奨されている。しかし、「とにかく有効化ステップを実装したい」という意欲と、この推奨事項(スパム回避)は両立しにくい状況にある。
- 一部の開発者はこれを解決するために**「メールの自動配信(スパム送信)」**を行う手段を選んでいる。
検証プロセス:PANGRAM の API
サインアップフォームにメールアドレスを入力すると、自動的に以下のようなリクエストが実行され、無作為のメールが届く。
1. API リクエスト例
curl --request POST \ --data '{"email": "example@example.com"}' \ https://www.pangram.com/api/validate-email
2. 届いたメールの内容
送信直後に**「Winwin Insights」**名義から以下のようなメールが届く。
【受信ヘッダー】
- From:
(ドメインは不自然な名前を含む)aliyah@sifgoldenshine.com - To:
<example@example.com> - Subject: Fact of the day: Magnetic (意味の薄いサブジェクト)
- Precedence: Bulk (大量送信として扱い、フィルターに引っかかりやすい)
【メール本文(HTML)】 Base64 解読後の内容は、磁気ドメインに関する無関係な英語テキストが
div に含まれている。
<div>...Hi there,<br>A magnetic domain is a region... (長文)...</div>
- 本文は完全に意味をなしません。これはスパムの特徴である「フィルタリングを回避するためのランダムな文章」です。
スパム送信の正体:ドメインローテーション
このアプローチは**「愚か」と評価されるべき理由**は以下の通りだ。
- 有効化ではなくスパム送信用: 相手に迷惑メールを送り、「アドレスが存在する」を証明しようとしている。
- フィルタリングの確率が高い: コンテンツフィルターが掛かっている宛先では、この試みは即座に失敗する。
ただし、送信元ドメイン(IP アドレス)は瞬時に切り替わるため、拒絶される前に別のルートからの再送を繰り返しているようだ。
サーバーローグ(ログ)分析
以下のように、複数の異なるホストが瞬間的に接続・切断を試みていることがわかる。
Jun 23 16:15:36 ... NOQUEUE: reject from mta2.icicleglimmerfrost.com[31.133.27.229] ... blocked using spam.spamrats.com Jun 23 16:15:38 ... NOQUEUE: reject from mailc.plowdairy.com[93.120.120.78] ... blocked using b.barracudacentral.org Jun 23 16:15:43 ... client=servidor.classmerge.com[176.113.182.193] ... status=sent (250 2.0.0 ...)
- 現象:
→mta2.icicleglimmerfrost.com
→mailc.plowdairy.com
とドメインが頻繁に変わる。servidor.classmerge.com - 原因: 一部の IP が**DNSBL(迷惑メールリスト)**に登録されており拒絶された直後、別のサーバーから再試行しているため。
結論と考察
この仕組みの設計思想は極めて不合理であり、以下の可能性が示唆される。
- 目的の矛盾: スパムを相手に配信するだけで「有効化」を試みている非効率さ。
- 開発コスト: この挙動を実装するには**膨大な労力(ドメインローテーションのロジックなど)**が必要。
- 仮説: 「メールの無効化」専用の愚かな SaaS サービスが存在するのではないか。
- もしこれが LLM エージェントが自制心を失った結果であれば、それは興味深いケースかもしれない。
※追記:Pangram からの実際のトランザクションメールは、上記のようなスパムとは別に Mailgun を介して正常に送信されています。