【上級】Outlook VBAで構築するゼロトラスト・メールセキュリティ：MAPIヘッダー解析によるリアルタイムなりすまし遮断システム
標準のOutlookルール（仕分けルール）や、表層的な送信者アドレス（`SenderEmailAddress`）のチェックだけでセキュリティ対策を講じている気になっているなら、今すぐその実装を破棄すべきです。
差出人の表示名（`Display Name`）やヘッダーの`From`アドレスは容易に偽装できます。エンベロープFrom（`Return-Path`）とヘッダーFromの不一致、そしてメールサーバー（MTA）が検証したSPF（Sender Policy Framework）、DKIM（DomainKeys Identified Mail）、DMARCの実証結果こそが、唯一信頼に値するファクトです。
本稿では、MAPIプロパティに直接アクセスして輸送ヘッダー（Transport Header）を抽出し、正規表現を用いてSPF/DKIM/DMARCの判定結果を解読、なりすましメールを瞬時に検知して隔離（ゴミ箱・迷惑メールフォルダへ移動）するプログラミング言語レベルで堅牢なVBAセキュリティエンジンの設計と実装を解説します。
—
1. 概念設計とアーキテクチャの罠
プロダクション環境で耐えうるOutlook VBAセキュリティツールを設計する際、初心者が必ず陥る「3つの罠」が存在します。ここを正しく理解していなければ、実業務で運用した瞬間にシステムは崩壊します。
罠1：`Items.ItemAdd` イベントの参照切れ（Garbage Collection）
`Folder.Items.ItemAdd` イベントを利用して受信を監視する実装をよく見かけますが、これは大問題です。Outlookのイベントハンドラオブジェクトがローカル変数や非永続的な参照として保持されている場合、VBAのガベージコレクション（GC）やUIの再描画に伴ってイベントの紐付けが静かに解除されます。結果として「いつの間にか自動処理が止まっている」という致命的な障害を引き起こします。
解決策：
イベントソースには、Outlookアプリケーションの基本イベントである `Application_NewMailEx` を使用します。このイベントは、メッセージがMAPIストアに到達した瞬間に確実にキックされ、対象アイテムの `EntryID` を渡してくれます。
罠2：`MailItem` オブジェクトにはヘッダープロパティが存在しない
VBAの `Outlook.MailItem` には、`Header` や `TransportHeader` といった直接的なプロパティは用意されていません。
解決策：
MAPIの標準プロパティタグである `PR_TRANSPORT_MESSAGE_HEADERS`（DASL名: `http://schemas.microsoft.com/mapi/proptag/0x007D001E`） を利用し、`PropertyAccessor` 経由で生のヘッダー文字列（ANSI/Unicodeテキスト）を取得します。
罠3：非同期での大量受信によるUIフリーズとメモリリーク
イベント内でヘッダー解析やCOMオブジェクトの参照解放を怠ると、一気に複数メールを受信した際にOutlookがハングアップします。
解決策：
`NewMailEx` から渡されるカンマ区切りの `EntryID` をループ処理する際、各ループ内で明示的に `MailItem` および `PropertyAccessor` の参照を破棄（`Set obj = Nothing`）し、COM参照カウントを正しく管理します。
—
2. 実装：プログラミング言語レベルで堅牢なセキュリティツール
以下の実装は、外部ライブラリの参照設定を不要にするため、正規表現エンジン（`VBScript.RegExp`）を動的生成（Late Binding）で利用し、どの環境でも即座に動作するように構築されています。
配置場所 1: `ThisOutlookSession`
イベントの受領に専念させ、ロジックは一切含めません。責務の分離（Separation of Concerns）を徹底します。
‘ ==============================================================================
‘ モジュール名: ThisOutlookSession
‘ 概要: Outlookアプリケーションイベントの集約ポイント
‘ ==============================================================================
Option Explicit
Private Sub Application_NewMailEx(ByVal EntryIDCollection As String)
On Error GoTo ErrorHandler
‘ 入力文字列（カンマ区切りのEntryIDリスト）を分割処理
Dim varEntryIDs As Variant
varEntryIDs = Split(EntryIDCollection, “,”)
Dim i As Long
For i = LBound(varEntryIDs) To UBound(varEntryIDs)
‘ メイン処理エンジンへ委任
mod_SecurityAnalyzer.ProcessIncomingMail Trim$(varEntryIDs(i))
Next i
Exit Sub
ErrorHandler:
‘ イベントハンドラ内での未処理例外によるクラッシュを防止
Debug.Print “[CRITICAL ERROR] NewMailEx: ” & Err.Number & ” – ” & Err.Description
End Sub
—
配置場所 2: 標準モジュール `mod_SecurityAnalyzer`
ヘッダーの抽出、検証ロジック、隔離アクション、監査ログ出力を担う核心部です。
‘ ==============================================================================
me モジュール名: mod_SecurityAnalyzer
‘ 概要: MAPIヘッダー解析およびなりすまし判定エンジン
‘ ==============================================================================
Option Explicit
‘ MAPI Property Tag (PR_TRANSPORT_MESSAGE_HEADERS)
Private Const PR_TRANSPORT_MESSAGE_HEADERS As String = “http://schemas.microsoft.com/mapi/proptag/0x007D001E”
‘ ログファイルの出力先 (環境に合わせて変更)
Private Const LOG_FILE_PATH As String = “C:\MailSecurity\security_audit.log”
”’
”’
”’ 対象メールのEntryID
Public Sub ProcessIncomingMail(ByVal strEntryID As String)
On Error GoTo ErrorHandler
Dim objNS As Outlook.NameSpace
Dim objItem As Object
Dim objMail As Outlook.MailItem
Dim strHeaders As String
Set objNS = Application.GetNamespace(“MAPI”)
‘ EntryIDから対象アイテムを取得
Set objItem = objNS.GetItemFromID(strEntryID)
‘ メールアイテム以外（会議開催通知等）は処理対象外
If Not (TypeOf objItem Is Outlook.MailItem) Then
GoTo CleanUp
End If
Set objMail = DirectCastToMailItem(objItem)
‘ 1. MAPIプロパティからヘッダーを取得
strHeaders = GetTransportHeaders(objMail)
‘ 内部メール（Exchange経由など）でヘッダーが存在しない場合はスキップ
If Len(Trim$(strHeaders)) = 0 Then
GoTo CleanUp
End If
‘ 2. ヘッダー解析によるセキュリティ判定
Dim isSpoofed As Boolean
Dim strReason As String
isSpoofed = EvaluateMailSecurity(strHeaders, strReason)
‘ 3. アクション（なりすまし判定時の処理）
If isSpoofed Then
IsolateMail objMail, strReason
End If
CleanUp:
‘ COMオブジェクトの厳密な参照解放
Set objMail = Nothing
Set objItem = Nothing
Set objNS = Nothing
Exit Sub
ErrorHandler:
WriteAuditLog “ERROR”, “ProcessIncomingMail Failed. EntryID: ” & strEntryID & ” / ” & Err.Description
Resume CleanUp
End Sub
”’
”’
Private Function GetTransportHeaders(ByRef objMail As Outlook.MailItem) As String
On Error GoTo ErrorHandler
Dim objPA As Outlook.PropertyAccessor
Set objPA = objMail.PropertyAccessor
GetTransportHeaders = CStr(objPA.GetProperty(PR_TRANSPORT_MESSAGE_HEADERS))
CleanUp:
Set objPA = Nothing
Exit Function
ErrorHandler:
‘ 0x8004010F (MAPI_E_NOT_FOUND) 等の例外処理
GetTransportHeaders = “”
Resume CleanUp
End Function
”’
”’
Private Function EvaluateMailSecurity(ByVal strHeaders As String, ByRef strOutReason As String) As Boolean
‘ デフォルトは安全とみなす（False）
EvaluateMailSecurity = False
strOutReason = “”
Dim objRegEx As Object
Set objRegEx = CreateObject(“VBScript.RegExp”)
With objRegEx
.IgnoreCase = True
.Global = True
.MultiLine = True
‘ — 判定ロジック 1: Authentication-Results ヘッダーの完全解析 —
‘ SPF Fail / SoftFail の検出
.Pattern = “spf=(fail|softfail)”
If .Test(strHeaders) Then
EvaluateMailSecurity = True
strOutReason = “SPF Authentication Failed (fail/softfail)”
GoTo Finalize
End If
‘ DKIM Fail の検出
.Pattern = “dkim=(fail|hardfail)”
If .Test(strHeaders) Then
EvaluateMailSecurity = True
strOutReason = “DKIM Authentication Failed”
GoTo Finalize
End If
‘ DMARC Fail の検出
.Pattern = “dmarc=(fail|reject)”
If .Test(strHeaders) Then
EvaluateMailSecurity = True
strOutReason = “DMARC Policy Enforcement Triggered (fail)”
GoTo Finalize
End If
‘ — 判定ロジック 2: Received-SPF の直接チェック (補助判定) —
.Pattern = “^Received-SPF:\s(fail|softfail)”
If .Test(strHeaders) Then
EvaluateMailSecurity = True
strOutReason = “Received-SPF Status: Fail/SoftFail”
GoTo Finalize
End If
End With
Finalize:
Set objRegEx = Nothing
End Function
”’
”’
Private Sub IsolateMail(ByRef objMail As Outlook.MailItem, ByVal strReason As String)
On Error GoTo ErrorHandler
Dim strOriginalSubject As String
strOriginalSubject = objMail.Subject
‘ 件名に警告タグを付与（視認性の確保）
objMail.Subject = “[SPOOF WARNING] ” & strOriginalSubject
objMail.UnRead = True
‘ 監査用カスタムプロパティ（ユーザー定義プロパティ）に理由を記録
Dim objUserProp As Outlook.UserProperty
Set objUserProp = objMail.UserProperties.Add(“Security_Reason”, olText, True)
objUserProp.Value = strReason
objMail.Save
‘ ゴミ箱（Deleted Items）へ移動（必要に応じてolFolderJunkへ変更可）
Dim objNS As Outlook.NameSpace
Dim objTrashFolder As Outlook.MAPIFolder
Set objNS = Application.GetNamespace(“MAPI”)
Set objTrashFolder = objNS.GetDefaultFolder(olFolderDeletedItems)
‘ ログ記録後に移動
WriteAuditLog “ISOLATED”, “Subject: ” & strOriginalSubject & ” | Reason: ” & strReason
‘ メールを移動
objMail.Move objTrashFolder
CleanUp:
Set objUserProp = Nothing
Set objTrashFolder = Nothing
Set objNS = Nothing
Exit Sub
ErrorHandler:
WriteAuditLog “ERROR”, “Failed to isolate mail: ” & Err.Description
Resume CleanUp
End Sub
”’
”’
Private Function DirectCastToMailItem(ByVal obj As Object) As Outlook.MailItem
Set DirectCastToMailItem = obj
End Function
”’
”’
Private Sub WriteAuditLog(ByVal strLevel As String, ByVal strMessage As String)
On Error Resume Next ‘ ログ失敗でメイン処理を落とさない
Dim intFileNum As Integer
intFileNum = FreeFile
‘ 追記モードでログ出力
Open LOG_FILE_PATH For Append As #intFileNum
Print #intFileNum, Format$(Now, “yyyy-mm-dd hh:nn:ss”) & ” [” & strLevel & “] ” & strMessage
Close #intFileNum
End Sub
—
3. コードの徹底解説とアーキテクチャの優位性
1. `PR_TRANSPORT_MESSAGE_HEADERS` による厳密抽出
本ツールは、通常画面に表示される送信者名（`Sender`）には一切惑わされません。SMTPハンドシェイク時に受信側MTA（Exchange Onlineや社内メールサーバー等）が追記した `Authentication-Results` フィールドを直接参照します。
ヘッダー例：
Authentication-Results: spf=fail (sender IP is 192.0.2.1)
smtp.mailfrom=malicious-domain.com;
dkim=fail header.d=company.com;
dmarc=fail action=oreject
正規表現エンジン（`VBScript.RegExp`）を用いて、この中から `spf=fail`, `spf=softfail`, `dkim=fail`, `dmarc=fail` のシグネチャを検知します。`MultiLine = True` を設定することで、複数行に跨がるヘッダーフィールドの折返し（Folding）にも柔軟に対応しています。
2. メモリリークを撲滅するコンテキスト管理
VBAで大量のメールオブジェクトを処理する際、最も恐ろしいのは `OutOfMemory` 例外（エラーコード 7）やOutlookの動作停止です。
本コードでは以下の原則を貫いています。
- `GetItemFromID` で取得したオブジェクトは、必ず `TypeOf … Is MailItem` でガード。
- 処理終了時（正常系・異常系問わず）、`CleanUp` ラベル配下で `Set obj = Nothing` を確実に実行。
- エラーハンドラは `On Error Resume Next` で例外を揉み消さず、`WriteAuditLog` へトレース情報を渡して安全にコンテキストを脱出。
3. トラブルシューティングを考慮したログ設計
セキュリティツールにおける最大の課題は「誤検知（False Positive）」の発生です。
このエンジンでは、隔離処理を行うと同時にローカルディスクへ 監査ログ（Audit Log） をリアルタイム出力します。さらに、移動されたメール自体の `UserProperties`（カスタム属性）に移動理由を永続化させています。これにより、後から「なぜこのメールがゴミ箱に隔離されたのか」を管理者が追跡できます。
—
4. 運用・拡張へのアドバイス
このツールを現場へデプロイし、さらに堅牢化させるためのエンタープライズ向け拡張指針を示します。
1. 社内差出人のホワイトリスト除外
社内ネットワークからのリレー送信（複合機からのスキャンメールなど）でSPFが通過していない場合、誤検知するリスクがあります。`EvaluateMailSecurity` 関数の冒頭に、特定の内部ドメインや送信元IPアドレスをバイパスするロジックを追加することを推奨します。
2. 完全自動破棄ではなく「隔離フォルダ」への移動
本コードでは安全のため `olFolderDeletedItems`（ゴミ箱）へ移動し、件名に `[SPOOF WARNING]` を付与していますが、本番運用時はセキュリティ専用の別名フォルダ（例：「隔離メール」フォルダ）を `MAPIFolder.Folders.Add` で作成し、そこへ移動させる設計が最も安全です。
3. 性能チューニング
メール受信が1秒間に数十通に及ぶ超高負荷環境の場合、ログ書き込み処理（`WriteAuditLog`）のファイルI/Oがボトルネックになり得ます。その場合はログを一時的にメモリ上の配列へバッファリングし、タイマー等で非同期に吐き出す構造へリファクタリングしてください。
—
まとめ：真のVBAエンジニアリングとは
単に「動くコード」を書くことと、「エンタープライズのインフラ上で落ちずに動き続けるコード」を書くことの間には巨大な鴻溝（こうこう）が存在します。
今回の設計のように、MAPIの深層仕様の理解、適切なイベント駆動モデルの採択、COMオブジェクトの厳密なライフサイクル管理 を組み合わせることで、VBAは単なるマクロの枠を超え、企業のセキュリティを足元から支える「頼れるツール」へと進化します。ぜひ貴社のセキュリティ運用に組み込み、その真価を体感してください。
