メールプライバシーの基礎：あなたのデータはどう扱われるのか

メールはもともとプライバシーのために作られていない

現在のほぼすべてのメール通信を支えているSMTP（Simple Mail Transfer Protocol）は、1982年に設計されました。開発者が解こうとしていたのは、ネットワーク上のコンピューター間でメッセージをどう配送するかという物流の問題であって、プライバシーの問題ではありませんでした。SMTPは既定でメッセージを平文のまま送信します。STARTTLSのような後年の拡張によって通信経路の暗号化は加わりましたが、プロトコルの根本的な設計は、経路上のすべての関係者が信頼できることを前提にしたままです。

これが問題になるのは、送受信するメールが必ず複数のサーバーを経由し、そのいずれもが内容を読み、複製し、記録し、解析できるからです。自分が使っているメールプロバイダー、相手のメールプロバイダー、その間に入る中継サーバーは、いずれもメッセージに技術的にアクセスできます。メールにおけるプライバシーは既定の状態ではなく、そもそもそれを想定していなかった仕組みの上に、後付けで重ねられたものなのです。

メールのトラッキングが機能する仕組み

自分のメールの利用状況がどれほど詳しく追跡されているかを知る人は多くありません。主な手口はトラッキングピクセルとリンクトラッキングの2つです。トラッキングピクセルは、HTMLメールに埋め込まれた極小の透明な画像（多くは1×1ピクセル）です。メールソフトがこの画像を読み込むと送信者のサーバーへリクエストが飛び、IPアドレス、メールを開いた時刻、おおよその所在地、端末の種類が送信者に伝わります。

リンクトラッキングは、メール本文のURLをすべて固有のリダイレクト用URLに置き換える手法です。リンクをクリックすると、リクエストはまず送信者の計測サーバーに届き、そこでクリックが記録されてから本来の宛先へ転送されます。これによって送信者は、どのリンクをいつ何回クリックしたのかを正確に把握できます。Mailchimp、SendGrid、HubSpotといったマーケティング基盤は、この仕組みを誰でも簡単に導入できるようにしています。

この2つが組み合わさることで、送信者は詳細な行動プロファイルを手にします。メールを読んだ時刻、読むのにかけた時間（ピクセルが複数回読み込まれることで推定できます）、関心を示したコンテンツ、そして所在地。これらはすべて、何の通知もないまま密かに記録されています。

現代のメールの土台を築いた、SMTPの原典となる仕様: RFC 5321 — Simple Mail Transfer Protocol (IETF) ↗

メールプロバイダーが集めている情報

Gmail、Outlook、Yahooといった無料のメールプロバイダーは、広告収入に支えられたビジネスモデルで運営されています。Googleは2017年に広告配信目的でのGmail本文のスキャンを取りやめましたが、いまも大量のメタデータを収集しています。誰に、いつ、どのくらいの頻度でメールを送ったか、件名、添付ファイルの種類、操作の傾向。こうしたメタデータは、Googleの各種サービスをまたいだ広告配信のために、より広範なプロフィールへ統合されます。

MicrosoftのOutlook.comやYahoo Mailも同様のメタデータを集めています。Yahooのプライバシーポリシーは、広告目的でメール本文をスキャンすることを明示的に認めています。有料のメールプロバイダーも例外ではありません。ProtonMailやTutanotaのようにエンドツーエンド暗号化を提供していない限り、事業者はメッセージ本文に技術的にアクセスでき、法執行機関からのデータ開示要求にも応じなければならないからです。

その結果として、メールの受信トレイはデジタル生活のなかで最も詳細な記録の一つになっています。買い物、契約中のサービス、旅行の予定、金融関係の明細、医療機関とのやり取り、そして人間関係。そのすべてが、第三者の管理するサーバーに保存されているのです。

SMTPの経路：メールが届くまでに何が起きているか

メールがたどる技術的な経路を知ると、プライバシー上の意味合いが見えてきます。誰かがメッセージを送ると、その人のメールソフトは送信用のSMTPサーバー（ポート587または465）に接続します。そのサーバーは宛先ドメインのMX（Mail Exchange）レコードをDNSで調べ、受信側のメールサーバーを特定します。そして送信サーバーがポート25で受信側のMXサーバーに接続し、SMTPのコマンドを使ってメッセージを送り届けます。

この中継の一つひとつの段階で、メッセージは検査され、記録され、保存されうる状態にあります。送信サーバー、中継サーバー、受信サーバーはいずれも、経路を記録するヘッダーをメッセージに追加します。この Received ヘッダーには、経由したインフラを示すIPアドレス、サーバー名、タイムスタンプが含まれています。各サーバーのスパムフィルター、ウイルススキャナー、コンプライアンス用のシステムが本文を解析することもあります。

PureTempMailがプライバシーを守る仕組み

使い捨てメールサービスは、構造そのものを単純にすることでこうした懸念に応えています。PureTempMailは登録なしでランダムなメールボックスを発行します。氏名もパスワードも、個人を特定しうる情報も一切必要ありません。メールボックスはあらかじめ決められた短い期間だけ存在し、期限が切れるとすべてのメッセージと添付ファイルもろとも完全に削除されます。

アカウントがないので、積み上がるプロフィールもありません。ログインがないので、破られるパスワードもありません。メッセージが自動的に消えるので、召喚状の対象になったり不正アクセスで盗まれたりするアーカイブも残りません。受信したメールはSMTPで受け取られ、Server-Sent Events（SSE）接続を通じてリアルタイムに表示され、その後は自動処理で削除されます。アクセス解析はなく、トラッキングピクセルも読み込まれず（メッセージビューアーはHTMLをサンドボックス内で表示します）、行動データも一切収集していません。

もちろん、これがすべてのメールのやり取りの答えになるわけではありません。銀行、勤務先、親しい相手とのやり取りには恒久的なアドレスが必要です。しかし、メールを使う場面の大半——登録、トライアル、ダウンロード、一度きりの認証——では、使い捨てアドレスがプライバシーとの引き換えという問題そのものを消し去ってくれます。

メールのプライバシーを高める実践的な手順

重要度の低い登録に使い捨てアドレスを使うほかにも、プライバシーを大きく改善できる方法がいくつかあります。まず、メールソフトの画像の自動読み込みを無効にしましょう。これだけでトラッキングピクセルは作動しなくなります。メインのアドレスには、ProtonMailやTutanotaのようなプライバシー重視のプロバイダーを選びましょう。すべてのメールアカウントで二要素認証を有効にしましょう。そして、サイトへ直接アクセスできる場合は、メール本文のリンクをクリックしないようにしましょう。

利用中のメールプロバイダーのプライバシーポリシーを読み、どのデータをどう使っているのかを把握してください。広告のために本文をスキャンしているようなら、乗り換えを検討する価値があります。プライバシーを尊重する選択肢はこの数年で大きく成熟し、いまでは主要プロバイダーと遜色のない機能を備えています。

メールのプライバシーは、ゼロか100かで考えるものではありません。使い捨てのやり取りに使い捨てアドレスを使うことから、恒久的な受信トレイにプライバシー重視のプロバイダーを選ぶことまで、一つひとつの取り組みが露出を減らし、自分のデジタルフットプリントを自分で制御する余地を広げてくれます。

PureTempMailがデータをどう守っているかをご覧ください。 プライバシーポリシーを読む