ドメインハイジャック防止：ドメインを盗難から守る方法

毎年、数千ものドメイン名がドメインハイジャックと呼ばれる手法によって盗まれています。ICANNのセキュリティ・安定性諮問委員会によると、不正なドメイン移管は最も多く報告される悪用カテゴリの一つであり、あらゆる規模の企業に影響を及ぼしています。その影響はウェブアドレスを失うだけにとどまりません。ハイジャックされたドメインは、顧客をフィッシングサイトにリダイレクトし、長年かけて築いたSEOランキングを破壊し、ブランドの信頼性を一夜にして損なう可能性があります。幸いなことに、ドメインハイジャックは大部分が予防可能です。レジストラの適切な設定、認証の強化、継続的な監視を組み合わせることで、ドメインの盗難を極めて困難にすることができます。本ガイドでは、ドメインポートフォリオを保護するための具体的な手順をご紹介します。

ドメインハイジャックとは？

ドメインハイジャックとは、ドメイン名を正当な所有者から無断で移管する行為です。攻撃者は、レジストラアカウントのセキュリティの脆弱性を突いたり、レジストラのサポートスタッフにソーシャルエンジニアリングを仕掛けたり、有効期限切れのドメインを悪用したりして制御権を奪います。攻撃者の管理下にある新しいレジストラにドメインが移管されると、回復には数週間から数カ月を要し、法的措置が必要になることもあります。ICANNの移管紛争解決ポリシーはこのような事態に対処するために存在しますが、手続きは遅く、成功が保証されているわけではありません。

ハイジャックが成功した場合の影響は深刻です。企業はメール機能を失い、ウェブサイトのトラフィックはゼロに落ち込み、盗まれたドメインから配信される悪意あるコンテンツに顧客がさらされる可能性があります。2023年、Palo Alto Networksのセキュリティ研究者は、移管完了から数時間以内にハイジャックされたドメインがフィッシングキャンペーンに転用された複数の事例を記録しています。SPFやDKIMレコードによるメール認証にドメインを利用している組織にとっては、ハイジャック事件がそのドメインから過去に送信されたすべてのメールのセキュリティを危険にさらす可能性もあります。

一般的なドメインハイジャックの手法

攻撃者がどのようにドメインを盗むかを理解することが、予防の第一歩です。ほとんどのドメインハイジャック事件は、高度なハッキング技術を伴いません。むしろ、人為的なミス、脆弱な認証、レジストラの手続き上の欠陥を悪用しています。最も一般的な手法はソーシャルエンジニアリングで、攻撃者がレジストラのサポートに連絡する際にドメイン所有者になりすまします。しかし、同様に危険で詳しく理解しておくべき手法は他にもいくつかあります。

• ソーシャルエンジニアリング - 攻撃者がレジストラのサポートに電話やメールでドメイン所有者を装い、公開WHOISデータを使って本人確認の質問に答える
• 認証情報の窃取 - レジストラのログインページを模倣したフィッシングメールで、ドメイン所有者からユーザー名とパスワードを騙し取る
• 期限切れドメインの取得 - 更新漏れでドメインが失効すると、攻撃者がドロップ期間中に即座に登録する
• メールアカウントの乗っ取り - レジストラアカウントに登録されたメールアドレスが侵害されると、攻撃者がレジストラのパスワードをリセットして完全な制御権を得る
• レジストラの脆弱性 - まれに、レジストラ自体にセキュリティ上の欠陥があり、ドメイン管理パネルへの不正アクセスが可能になることがある
• DNSハイジャック - ドメインを移管するのではなく、攻撃者がDNSレコードを改ざんしてトラフィックをリダイレクトし、所有者は技術的にはドメインを保持したままとなる

トランスファーロックの役割

トランスファーロックは、不正なドメイン移管に対する最初の防御線です。ドメインにclientTransferProhibitedステータスコードが有効になっている場合、レジストリは現在のレジストラによってロックが明示的に解除されるまで、すべての移管リクエストを拒否します。つまり、攻撃者がレジストラアカウントにアクセスできたとしても、移管を開始する前にドメインのロック解除という追加のステップを踏む必要があります。この追加ステップにより、監視ツールが変更を検知してアラートを発する時間的猶予が生まれます。無料でほぼすべてのレジストラが提供しているにもかかわらず、驚くほど多くのドメインがロック未設定のままです。

レジストリロック（serverTransferProhibitedとも呼ばれます）は、さらに強力な保護層を提供します。レジストラのコントロールパネルから解除できるクライアント側のロックとは異なり、レジストリロックはレジストリオペレーターとの直接的な確認が必要で、通常は複数段階の手動プロセスを経ます。例えば、Verisignの.comおよび.netドメイン向けRegistry Lockサービスでは、変更を行う前に事前承認された連絡先からの電話確認が必要です。これにより、不正な移管はほぼ不可能になります。デメリットはコストで、レジストリロックはTLDによって年間25ドルから300ドルが追加されること、また意図的な移管の処理に時間がかかるという不便さがあります。

ドメイン保護のセキュリティチェックリスト

ドメインの保護には多層的なアプローチが必要です。単一の対策だけでは十分ではありませんが、複数の安全策を組み合わせることでハイジャックの可能性を極めて低くすることができます。以下のチェックリストは、すべてのドメイン所有者が実施すべき基本的な手順を、重要度の高い順に並べたものです。3つだけ実施するとすれば、トランスファーロックの有効化、二要素認証の使用、WHOISプライバシーの設定です。この3つの対策だけで、大多数のハイジャックの試みを阻止できます。

• レジストラのコントロールパネルからすべてのドメインでclientTransferProhibitedを有効にする
• レジストラアカウントで二要素認証を有効にする（SMSよりも認証アプリの使用を推奨）
• WHOISプライバシー保護を有効にして、連絡先情報を公開WHOISレコードから非表示にする
• レジストラアカウント専用の安全なメールアドレスを使用し、他の用途には使わない
• 最も価値の高いドメインにはレジストリロックサービスの利用を検討する
• レジストラアカウントの変更通知を有効にして、変更が行われた際にアラートを受け取れるようにする
• レジストラアカウントの承認済み連絡先を四半期ごとに見直し、アクセスが不要になった人物を削除する
• ドメイン登録の更新は有効期限の少なくとも60日前までに余裕を持って行う
• ドメインポートフォリオを文書化し、レジストラの認証情報はパスワードマネージャーに保存する

不正な変更の監視

強力な予防措置を講じていても、モニタリングは重要な検知レイヤーとして機能します。攻撃者がロックや認証を何らかの方法で回避した場合でも、モニタリングツールが不正な変更を検知し、被害が確定する前にアラートを送信します。ICANNの移管プロセスには、ほとんどのgTLD移管に対して5日間の義務的な待機期間が含まれており、異議を申し立てるための限られた時間的猶予があります。ただし、この猶予を活用できるのは、移管が行われていることを把握している場合に限られます。DomainExpiryCheck.comのようなサービスは、ドメインのトランスファーロック状態の変更を検知し、早期警告シグナルを提供します。また、ドメインのDNSレコード、WHOIS登録データ、ネームサーバー設定に予期しない変更がないかも監視すべきです。これらのデータポイントに対して自動アラートを設定すれば、毎日手動で各ドメインを確認する必要がなくなります。大規模なポートフォリオの場合、この種のモニタリングは任意ではなく、必須です。外部モニタリングとレジストラの組み込み通知システムを組み合わせることで、ほとんどのハイジャック試行を初期段階で捕捉するセーフティネットを構築できます。