メールヘッダインジェクションとは？

メールヘッダインジェクションとは、問い合わせフォームなどでメールを送る機能に対し、入力欄へ改行を混ぜてCcやBccといったヘッダを追加させる攻撃。正規サイトのメールサーバを使って無関係な宛先へ大量送信でき、迷惑メールの中継として悪用される。

めーるへっだいんじぇくしょん

情報処理安全確保支援士試験の頻出用語／午前II

メールヘッダインジェクションの意味

問い合わせフォームなどでメールを送る機能に対し、入力欄へ改行を混ぜてCcやBccといったヘッダを追加させる攻撃。正規サイトのメールサーバを使って無関係な宛先へ大量送信でき、迷惑メールの中継として悪用される。

差出人アドレス欄に「aaa@example.jp\nBcc: 大量の宛先」と入力すると、そのままヘッダとして組み立てられ送信される。件名欄や返信先欄も同じ経路になり得るため、ヘッダに載る入力すべてが対象になる。

宛先を固定にしているから安全、と考えるのは誤り。追加されるのは宛先そのものではなくヘッダ行であり、Bccを足されれば結果的に任意の宛先へ届く。改行を含む値の拒否と、ヘッダ組み立てを行うライブラリの利用が対策。

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。