バックスキャッタとは？

バックスキャッタの意味

差出人を詐称した迷惑メールが宛先不明などで失敗したとき、受信サーバが生成したエラー通知が、詐称された無関係の第三者へ大量に届く現象。被害者は自分が送っていないメールの不達通知を浴び、実質的なメール爆撃を受ける。

バックスキャッタの具体例

対策は、受信時点でRCPT TOの宛先が実在するか検証し、存在しなければその場でSMTPの応答として拒否すること。いったん受理してから後で不達通知を作る設計にすると、詐称された第三者へ通知を送りつける加害者側に回ってしまう。

バックスキャッタは試験でどう引っ掛けられる？

通知を出しているサーバ自身は正しく動作しているつもりであり、設定不備の自覚が生まれにくい。またディレクトリハーベスト対策として宛先の存在を隠す設定にすると、逆にバックスキャッタが増える。両者は緊張関係にある。

バックスキャッタと関連する用語

• ディレクトリハーベスト攻撃
• SMTP
• オープンリレー（第三者中継）

バックスキャッタが出た過去問

• 送信元IPアドレスがA,送信元ポート番号が80/tcp,宛先IPアドレスが未使用のIPアドレス空間内のIPアドレスであるSYN/ACKパケットを大量に観測した場…

  正解：IPアドレスAを攻撃先とするサービス妨害攻撃

  要点：未使用空間への大量SYN/ACKは送信元詐称DoSの反射である

  使われていないアドレス空間へ届くSYN/ACKは、そこから接続要求を出していない以上、送信元を詐称した要求への応答が誤って流れ着いたものである。すなわち、送信元アドレスを詐称したSYNパケットが80番で待ち受けるIPアドレスAへ大量に送られている状況を示しており、Aが標的とされていると推定できる。この観測はバックスキャッタと呼ばれ、被害の把握に利用される。

  出典：令和4年度 秋期 情報処理安全確保支援士試験 am2 問5（IPA）

• 送信元IPアドレスがA、送信元ポート番号が80/tcp、宛先IPアドレスがホストに割り振られていない未使用のIPアドレスであるSYN/ACKパケットを大量に観測…

  正解：IPアドレスAを攻撃先とするサービス妨害攻撃

  要点：未使用IP宛の大量SYN/ACKは送信元詐称SYNフラッドの跳ね返り

  SYN/ACKは、SYNを受け取ったサーバが返す応答である。送信元IPアドレスAのポート80から、割り当てられていないアドレス宛に大量のSYN/ACKが飛んでいるのは、攻撃者が送信元を詐称した大量のSYNをAに送り込み、Aがその偽の送信元へ応答を返している状況といえる。すなわちAは攻撃を受けている側であり、観測されているのはSYNフラッド攻撃の跳ね返り（バックスキャッタ）である。

  出典：令和6年度 春期 情報処理安全確保支援士試験 am2 問5（IPA）

• 送信元IPアドレスがA,送信元ポート番号が80/tcp,宛先IPアドレスがホストに割り振られていない未使用のIPアドレスであるSYN/ACKパケットを大量に観測…

  正解：IPアドレスAを攻撃先とするサービス妨害攻撃

  要点：未使用IP宛の大量SYN/ACKは送信元詐称SYNフラッドの跳ね返り

  SYN/ACKはSYNを受け取った側が返す応答なので、Aのポート80から大量に出ているということは、Aに大量のSYNが届いていることを意味する。宛先が未使用のアドレスばかりであることから、攻撃者が送信元アドレスを詐称してSYNを送りつけ、その応答が実在しないアドレスへ飛んでいると考えられる。したがってAは攻撃を受けている側で、観測されているのはSYNフラッドの跳ね返り（バックスキャッタ）である。

  出典：令和7年度 秋期 情報処理安全確保支援士試験 am2 問7（IPA）