POP3とは？仕組みとセキュリティリスクを解説

POP3のポート番号と許可すべきポート

この議論は2018年にIETFが決着させました。「Cleartext Considered Obsolete」と題したRFC 8314は、メールクライアントとメールサーバー間のすべての通信にTLS 1.2以降を推奨しています。また、平文の110番ポートの接続をSTLSで暗号化するより、995番ポートでの暗黙的TLSを優先しています。NISTのSP 800-177 Rev. 1もPOPとIMAPのクライアントに同じ助言をしています。TLSで接続すべきとし、暗号化されていない接続でのユーザー名とパスワードによる認証を「強く推奨しない」としています。STLSなしの110番ポートでは、ユーザー名、パスワード、メッセージの全文が、盗聴できる立場の誰にでも読める状態でネットワークを流れます。TLSがセッションを守る仕組みに詳しくない場合は、まずそちらをご覧ください。

セキュリティ部門がPOP3に注意すべき理由

最大の問題は認証情報です。実務でPOP3といえば基本認証です。MFAに対応できないクライアントが、多くは数分おきの受信確認のたびに固定のパスワードを送ります。プロバイダーはこれを維持できないと判断しました。MicrosoftはExchange OnlineのPOPとIMAPで、2022年10月1日から基本認証を無効化しており、再び有効にすることはできません。現在POP/IMAPにはOAuth 2.0が必要です。Googleも続き、2025年3月14日以降、Google WorkspaceはPOP、IMAP、SMTP、CalDAV、CardDAVでパスワードのみのサインインを受け付けていません。残る手段はOAuth（またはアプリパスワード）だけです。今もパスワードだけで接続するPOP3クライアントの相手は、オンプレミスか小規模なホスティングのサーバーです。レガシープロトコルは最新のサインイン時の確認を経ないため、こうしたアカウントは認証情報の窃取の格好の標的になります。

メールが端末に散らばります。ダウンロード後、メッセージの唯一のコピーが一台のノートPCのメールファイルにしかないこともあります。ノートPCを失えば、メールも失います。添付ファイルもそのままディスクに保存されるため、ゲートウェイのフィルタリングとエンドポイント保護に頼るしかありません。悪意のある添付ファイルの扱い方もご覧ください。

調査が難しくなります。サーバー上のコピーが消えると、インシデント対応や電子情報開示の際に、一元的に検索できるものが残りません。対応担当者はメール基盤を検索する代わりに、端末のイメージを取得しなければなりません。顧客が保存義務（HIPAA、金融規制、サイバー保険の要件）の対象なら、ダウンロード後に削除する方式のせいで、気づかないうちにコンプライアンス違反になりかねません。

POP3とIMAPの違い

IMAPはメールをサーバーに保持し、既読・未読、フォルダ、削除をすべての端末で同期します。POP3はメールを一台の端末に取り込み、標準ではサーバーから削除します。セキュリティとコンプライアンスの観点では違いは明確です。IMAPはバックアップ、検索、保全ができるデータを一元管理し、POP3はそれを端末ごとに分散させます。POP3が勝る場面はほとんど残っていません。厳しい容量制限のあるサーバーを一台の端末だけで使うユーザーか、ほかのプロトコルに対応しないレガシー機器くらいです。これらは期限付きの例外として扱い、恒久的な構成にはしないでください。

POP3をすぐ廃止できない場合の保護方法

1. まず棚卸しをします。各メール基盤のサインインやプロトコルのログから、POP3を使う全アカウントとそのクライアント、理由を一覧にします。サービス用メールボックス、スキャナーやチケット管理の連携、移行していない少数の個人が見つかるはずです。
2. TLSを強制します。RFC 8314に沿い、995番のみ許可し、110番の平文ログインを無効化、TLS 1.2以上を必須にします。
3. パスワードだけの認証をなくします。Microsoft 365とGoogle Workspaceでは対応済みです。それ以外では、OAuth対応のクライアントか固有のアプリパスワードを必須にし、アカウント自体にMFAを適用します。
4. 管理下のクライアント設定で「サーバーにコピーを残す」を有効にします。ゲートウェイでもアーカイブし、クライアントがダウンロードする前にコピーを残します。
5. アカウントを監視します。新しいIP範囲や国からのPOP3ログイン、ログイン失敗の急増、一回のセッションでのメールボックス全体のダウンロードにアラートを設定します。いずれも低コストで精度の高い、アカウント乗っ取りの検知方法です。
6. 移行期限を決めます。ユーザーをIMAPかクラウドのネイティブクライアントに移し、メールボックスを確認する連携はAPIに置き換えます。

POP3とSPF・DKIM・DMARCの関係

直接の影響はありません。SPF、DKIM、DMARCは、メールがメールボックスに届く前に受信サーバーで認証します。POP3ユーザーがダウンロードするメッセージは、すでにこれらのチェックに合格または不合格になっています。受信と送信者認証は別の層であり、両方が必要です。ただし注意点が2つあります。DMARCが守るのは自社の正確なドメインだけで、フィッシング犯が登録する類似ドメインは守れません。また、基本的なPOP3クライアントはWebメールより視覚的な警告が少ないため、チェックに失敗しても届いたメールが見過ごされやすくなります。受信側のレガシーなアクセスを整理する間に、Palisadeの無料のメールセキュリティスコアで顧客のドメインを調べ、送信側も確認しましょう。

よくあるトラブル

POP3クライアントが突然Microsoft 365やGmailにサインインできなくなった。パスワードの誤りではなく、基本認証が廃止されたためです。Exchange OnlineではPOP/IMAPにOAuthが必要です（また、OutlookクライアントでPOPとIMAPのOAuthに対応する予定はないとMicrosoftは述べています）。Google WorkspaceではOAuthかアプリパスワードが必要です。対処法：OAuth対応のクライアントに切り替えるか、ポリシーが許す範囲でアプリパスワードを発行します。

誰かがデスクトップクライアントを設定した後、Webメールからメールが消えた。POP3の標準動作である、ダウンロード後の削除が働いた結果です。クライアントで「メッセージをサーバーに残す」を有効にし、コピーが削除されていればゲートウェイのアーカイブやバックアップから復元します。

同じメッセージが重複してダウンロードされる。クライアントがUIDLのキャッシュを失ったか、サーバーがUIDLに対応していないため、取得済みのメッセージを判別できません。キャッシュを消去し、サーバー側のUIDL対応を確認します。

110番ポートへの接続がタイムアウトする。ファイアウォールが（正しく）ブロックしています。例外を申請せず、SSL/TLSで995番ポートを使うようクライアントを設定し直します。

接続時に証明書エラーが出る。多くの場合、クライアントが誤ったホスト名（プロバイダーのメールホストではなくドメイン）を指しているか、サーバーの証明書が期限切れか、TLSが1.2未満です。まずサーバー名を修正します。

関連記事

• IMAPとは？
• SMTPとは？
• IT部門が認証情報の窃取を防ぐには？