【ITニュース解説】1万件超のドメインを保有する攻撃者--悪用される「中古」ドメインの実態

インターネット上の住所に当たる「ドメイン名」は、私たちがウェブサイトにアクセスする際に欠かせない存在だ。しかし、このドメイン名がどのように管理され、時には悪意のある目的で利用されるかについては、あまり知られていないかもしれない。多くの人がウェブサイトのURLを見てアクセスする際、そのドメイン名が常に同じ運営者によって使われているとは限らないのが実態である。かつて存在した信頼できるサイトのドメインが、ある日突然、全く別の、そして悪意のある目的のページを表示するようになることがある。これは、ドメイン名が不動産のように「買い切り」ではなく、年単位で登録を更新しながら使用する仕組みになっていることに起因する。

ドメインの所有者が更新料の支払いをやめると、そのドメインは失効状態となる。一定の期間が経過すると、失効したドメインは再び誰でも登録できる「中古ドメイン」として市場に放出されるのだ。この仕組みが悪意のある攻撃者にとって格好のターゲットとなっている。攻撃者たちは、昔から利用されていて、かつて高い知名度や信頼性を持っていたドメインに目をつけ、それらが失効するのを待ち構えている。なぜなら、そうしたドメインは過去の運用実績から、検索エンジンの評価（SEO評価）を引き継いでいる可能性があり、また多くのユーザーがそのドメインを以前の信頼できるサイトとして認識している場合があるからだ。

記事では、このような中古ドメインを大量に保有し、悪用している攻撃者の存在が指摘されている。彼らは、1万件を超える数のドメインを管理し、組織的に活動しているとみられている。攻撃者が中古ドメインを取得する手法の一つに、「ドロップキャッチサービス」というものがある。これは、失効間近のドメインを自動的に監視し、失効した瞬間にすぐに登録を代行してくれる専門のサービスだ。このようなサービスを悪用することで、攻撃者は膨大な数のドメインを効率的に手に入れることができる。彼らは、過去に有名企業や公的機関が使っていたドメイン、あるいは多くのブログやニュースサイトでリンクされていたドメインなど、価値のある中古ドメインを狙って取得している。

では、手に入れた中古ドメインを攻撃者はどのように利用するのだろうか。最も一般的な悪用方法は、フィッシング詐欺だ。例えば、かつて存在した金融機関や大手ショッピングサイトのドメインと似たような、あるいは完全に同じ中古ドメインを取得し、そこに偽のログインページを作成する。ユーザーは、見慣れたドメイン名を見て安心してしまい、本物のサイトと誤認してIDやパスワード、クレジットカード情報などを入力してしまう。入力された情報は攻撃者に盗まれ、不正利用されてしまうのだ。

また、マルウェア配布サイトとして利用されるケースも少なくない。中古ドメインを使ってマルウェアをダウンロードさせるページを作成したり、他の悪意あるサイトへ誘導したりすることで、ユーザーのPCやスマートフォンにウイルスを感染させようとする。さらに、偽のオンラインカジノサイトや詐欺的な投資話を持ちかけるサイト、ブランド品を模倣した商品を販売する詐欺ECサイトなど、様々な詐欺行為の温床にもなっている。

検索エンジンの評価が高い中古ドメインは、SEOスパムの目的でも使われる。関連性の低いキーワードで検索上位に表示されるよう誘導したり、特定の悪質サイトへのリンクを大量に生成したりすることで、インターネット全体の検索結果の信頼性を低下させる原因となる。他にも、企業のブランド名を勝手に利用したサイトを立ち上げ、ブランドイメージを毀損したり、偽情報を流布したりする行為も確認されている。

これらの問題は、私たちシステムエンジニアを目指す者にとっても他人事ではない。ドメインの仕組みを理解し、それがどのように悪用される可能性があるのかを知ることは、セキュリティ対策を考える上で非常に重要だ。例えば、自社でドメインを運用する際には、失効しないように厳重に管理すること、また、失効させる場合は悪用されないような対策を検討することが求められる。ユーザーとしてウェブサイトを利用する際も、見慣れたドメイン名だからといって安易に信用せず、提供されているコンテンツやページの挙動に不審な点がないか注意深く確認する習慣を持つことが大切だ。

このように、中古ドメインの悪用は、単に一部の悪意ある行為に留まらず、インターネット全体のセキュリティと信頼性を揺るがす深刻な問題となっている。私たちは、この実態を深く理解し、常に最新の脅威に対する知識を更新し続ける必要がある。それが、安全なインターネット環境を構築し、守っていくシステムエンジニアとしての責務だからだ。