リッチテキスト形式メールの危険性は？

質問

今、社内で日報をリッチテキスト（HTML)形式メールで浸透させる計画があります。もちろん、全員がOutlookExpressを使っているため文字化けの心配などはありません。しかし、リッチテキスト形式だとウイルスの危険があるという声があがっています。

　日報ですから簡単な表の形態です。FrontPageである程度の表の形を作り、それをOutlookExpressのほうに貼り付けてリッチテキスト形式のメールを作成しました。その日報テンプレート？メールは名前を付けて保存しておいたので、あとは氏名や内容を挿入し送信するだけで済むようにしました。

　今時点でそのテンプレートメールにはウイルスは存在していません。今後はそのメールを社内に配り、そこに内容を記入して送信してもらう計画でいるわけです。さて、このような状況において果たしてそのリッチテキストメールにウイルス（ワーム）が混入する危険性はどれだけあるのでしょうか？

　ウイルスの混入する危険があるとすれば、どういう形が想定されますか？予防策などはありますか？そのへんも合わせて教えていただければ助かります。

※ちなみに、今はテキスト形式メールにワードで作成した日報ファイルを添付し送信しています。

回答No.6

noname#7273

(1) メールの世界で、現在問題になっているのは、
知らないうちに、WordやExcelなどのマクロウィルスを含むファイルが、
添付ファイルとして外部からもたらされ、
知らず知らずのうちに、またそれを添付ファイルにして送信してしまう、
そういうことの繰り返しによって、蔓延してゆくという状況です。

http://www.trendmicro.co.jp/virusinfo/basic/before.htm
http://www.trendmicro.co.jp/virusinfo/basic/winsecurity/winsec4.htm

これには、ウィルスチェックの体制を組織的にも、個人レベルでも充実してゆく、
そういう働きかけが必要です。これによって、外部からの侵入を防ぐということです。

マクロウィルスは、添付ファイル化されたWord、Excel、FrontPageなどの添付ファイルの
マクロに仕組まれたプログラムが悪さをします。
これへの対処としては、次のようなものがあります。

http://www.trendmicro.co.jp/virusinfo/basic/winsecurity/winsec6.htm

そして、万が一侵入されたときでも、ウィルス流布の汚名を着せられないために、
Wordなどのメジャーなアプリケーションのデータファイルを添付ファイルにするのは避ける、
というのが、一般的にとられる基本的な態度です。

兎に角、Wordのような文書のファイルを添付して送ることの危険性は最大限に高いということです。

さて、HTML形式やリッチテキスト形式でメールを書くことも、メールの内部形式では、
添付ファイルを送るのと近いことを行っており、この方法もできれば推奨されません。

(2)しかし、HTML形式やリッチテキスト形式でメールを書くことは、
受信文書の可読性の高さから、とても便利な面があります。

そこで、次の問題は、
もし、知らず知らずのうちに、ウィルスを添付ファイルとして含んでしまった場合、
HTML形式メールとリッチテキスト形式メールのどちらがリスクが小さくてすむかという点です。

そこで、まず怖いのは、いわゆる「HTMLウィルス」だと思います。
具体的には、メールソフトのHTMLビューアの問題になりますが、
HTML形式による、凝ったメールが増えてきており、
Webブラウザの方は、HTMLウィルスへ対応するためにセキュリティを厳しくしつつあり、
ある種のActiveXはデフォルトで実行されないように設定されています。
しかし、メールソフトでHTMLファイルを開く場合には、
ビューアによるチェックは一般的に甘くなりがちです。

その場合、HTMLファイルに書き込まれたスクリプトが自動的に実行され、
パソコンのディスクが勝手に操作されてしまう可能性があります。

http://www.onsystems.co.jp/SecurityHole-HTMLView.html
http://www.internetclub.ne.jp/TECH/Ztoday/1999/990802.html
http://www.internetclub.ne.jp/TECH/Ztoday/1999/990508.html

一方、RTFファイル、すなわちリッチテキストファイル化すれば、
テキスト以外の書式やスタイル情報も保存できます。
しかし、そもそもリッチテキストで伝えられる書式やスタイルは、
限られた文字種、下線、表などの低レベルの飾り情報に限定され、
高級なWordやExcelなどのマクロウィルスのコードは保存できません。
元来、リッチテキストは、メモ帳では、可読性の悪い命令埋め込みのテキスト文書として表示されるだけです。
かといってWordのような高級な書式やスタイル情報を伝えることはできません。
あくまでも、ワードパッドレベルの文書情報を伝えることを目的にしています。
したがって、リッチテキストに潜むウィルスと報告されているものでも、
実体は、Word文書のままで、拡張子だけを.rtfに直したもののようです。

http://ns.jcsa.or.jp/JpNews1999.html

このことから、最近では、どんな拡張子であろうと、すべてウィルスチェックの対象とする
というのが常識になっています。

長々と書いてしまいましたが、結論としては、

>現在はワードファイルを添付しておりますが、
>果たしてそこにウイルスが混入する危険性に比べるとどうなのでしょうか？

一般に、メジャーなアプリケーションである、ワードファイルを添付することに比べ、
リッチテキスト形式のメールにウィルスが混入する危険性は低い。
しかし、ウィルスに感染したHTML形式やリッチテキスト形式のメールが外部からもたらされる
危険性はなくならないので、さらにその防御体制を続ける必要がある。

その場合、現在では、HTMLウィルスの方が危険性の度合いは高い。

とはいえ、今後、いつ、高度なウィルスがリッチテキストファイルに埋め込まれ、
それが広まるようになるか余談は許されない状況ではあります。

さて、余談ですが、リッチテキストやHTML形式ファイルを利用する場合の問題点は、
むしろ次のような点にあるとわたしは考えています。

・書式情報などのために、メールの物理的サイズが大きくなり、
送受信に要する時間やネットワークの負荷が増大すること。

・日報メールは日夜溜まっていき、保存するサーバ側のディスク容量を圧迫すること。

・リッチテキストファイルは、メーカ間、OS間、メールソフト間で、
互換性がないという欠点があること。

したがって、将来、テンプレートファイルの管理が面倒になる可能性もあります。

お礼

仕事の都合で返事が遅れて申し訳ありませんでした。アドバイスありがとうございました。下の方のお礼の中でも触れたのですが、社内で作り使いまわしているリッチテキスト（HTML)形式メールに限って言えば、そのメール自体にウイルスが混入する可能性はゼロとはいえないのでしょうか？よければ、また教えてください。