ドメインハイジャックとは

ドメインハイジャックとは

ドメインハイジャックとは、攻撃者が通常ソーシャルエンジニアリングを使用してドメイン名を制御することです。ドメイン名は、ユーザーをWebサイトに接続するために使用される一意で覚えやすいアドレスであり、 組織の対外インターネットIDを構築するための基盤です。

攻撃者がドメインをハイジャックすることに成功すると、正当な所有者は多くの ドメインリンクサービスに対する制御を失います。これには、Webサイトのコンテンツ、企業メール、VOIPコールセンター、クラウドストレージサービス、およびドメインに関連付けられているその他の アプリが含まれます。このような理由から、ドメイン名のハイジャックは、 ブランド、収益、評判に対する最大のオンライン脅威の1つとなっています。

ドメインの仕組みとは？

ドメイン名により、英数字のIPアドレスを覚えることなくWebサイトに簡単にアクセスできるようになります。ドメイン名は、インターネットの電話帳として機能するDomain Name System（DNS）のおかげで、IPアドレスと照合されます。

ドメインは、ドメイン名レジストラを通じて確立されます。ドメインの取得には、レジストラとレジストリという2つの主要なプレイヤーがいます。 レジストリ（VeriSignなど）を卸売業者、レジストリを小売業者と考えるとよいでしょう。レジストリーは、 TLD内のすべての登録ドメインのデータベースを所有します。利用可能なドメイン名の予約は、レジストラに委任されます。次に、何千ものレジストラが一定の期間、エンドユーザーにドメイン名を「販売」（またはリース）します。

ドメイン名は、2つまたは3つの部分で構成され、それぞれがドットで区切られています。右から左に読むと、 ドメイン名の識別子は順に最も全体的なものから最も細部なものになります。

• ドメイン名の最後のドットの右側のセクションは、トップレベルドメイン（TLD）です。TLDの例には、「.com」、「.net」、「.co」、「.uk」、「.in」などがあります。
• TLDの左側は第2レベルドメイン（2LD）であり、2LDの左側に何かがある場合は、 第3レベルドメイン（3LD）と呼ばれます。

ドメイン名の不正変更を防ぐために、ドメインの所有者はレジストラを通じて「クライアント」ロック （レジストラロック）を適用することができます。レジストリーは、レジストリーロックとも呼ばれる「サーバー」 ロックを適用します。しかし、攻撃者が適切なアカウントアクセス権を取得した場合、ドメインのロック解除や 不正なレジストラ変更が可能となってしまいます。

ドメインハイジャックはどのように発生しますか？

ドメインハイジャックの方法は数多くあります。例：

• ソーシャルエンジニアリングとフィッシングスキーム：大まかに言えば、ソーシャルエンジニアリングとは、 秘密情報を提供させるようにするために人を操作する攻撃です。例えば、攻撃者は、 レジストラから送信されたように見える正規のフィッシングメールを意図した被害者に送信します。受信者は、レジストラーのWebサイトに移動できると考えて 電子メールのリンクの1つをクリックしますが、実際にはレジストラーのログイン資格情報を盗むように設計されたスプーフされたドメインを参照してください。
• 休眠ドメインや有効期限切れドメインの悪用：ほとんどのドメイン名は、 一度に最大10年しか登録できません。ドメインの有効期限が切れたら、 顧客に警告することはレジストラーの責任です。しかし、 エンドユーザーがドメインを適切に更新しなかった場合（または適切に廃止しなかった場合）、 攻撃者がそのドメインを購入し、悪用できるようになってしまいます。
• レジストラ侵害：攻撃者はレジストラの脆弱性を悪用することもあります。例えば、SquarespaceがGoogle Domainsから約1000万のドメイン名を移行していたとき、攻撃者はアカウントを乗っ取ってDNSレコード（特に特定の暗号化企業やブロックチェーン企業のレコード）を変更できるという欠陥を悪用しました。その後、攻撃者はWeb訪問者をフィッシングサイトにリダイレクトし、 トークンやその他のデジタル通貨を盗もうとしました。
• APIキーの漏洩： APIキーおよびその他の認証トークンは、アプリケーションがAPI経由でオンラインアカウント（特定のドメインサービスなど） にアクセスできるように設計されています。これらのキーが暴露されたり、誤って流出した場合、組織の レジストラアカウントにアクセスできるようになる可能性があります。

ドメインハイジャックがもたらす影響は？

ドメインの侵害に成功すると、攻撃者は無数のWeb操作を妨害できるようになります。 例えば、以下のことが可能です。

• 元のサイトのコンテンツを変更する
• Web訪問者を別の悪意のあるサイトにリダイレクトする
• オンラインでの決済を攻撃者が管理するアカウントに転送する
• ドメインのメールサーバーからスパムメールやフィッシングメールを送信する
• 企業の受信箱に送信された機微性の高いメールを読む
• API呼び出しを変更して、組織の モバイルアプリやその他のデジタルサービスを中断する

レジストラ間でドメインを移管 するのは簡単ですが、盗まれたドメインを復元することは非常に困難です。数週間から数か月 かかることもあります。 場合によっては、法的措置が必要になることもあります。この作成が難しくなる理由の1つは、 適切なドキュメントが、オリジナルドメイン所有者がアクセスできなくなったシステム（企業のメールなど）に存在する可能性があることです。 ドメインは数日で回復できます。あるいは、 本来の（正当な）所有者が盗まれたドメインを取り戻すことはできないかもしれません。

結果にかかわらず、ドメインがハイジャックされた場合、 最終的に財務、評判、さらには規制上の深刻な影響につながる可能性があります。

ドメインハイジャックとドメインスプーフィングの対比

ドメインハイジャックでは、攻撃者は正当に登録されたドメイン名を盗み取ります。ドメインスプーフィングとは、サイバー犯罪者が、偽のWebサイトやEメールのドメインを作成してユーザーを欺こうとするものです。 これは、偽の資格情報を見せて信頼を獲得する詐欺師のようなものです。攻撃者は、ドメインを偽装するために レジストラアカウントを乗っ取る必要はありません。

ドメインハイジャックとDNSハイジャックの対比

ドメイン自体が危険にさらされるドメインハイジャックは、DNSハイジャック（別名DNSポイズニング）とは異なります。DNSハイジャックの場合、攻撃者はNSにあるWebサイトの DNSレコードを標的にします。

NSレコードは、基本的にどこに行けばドメインのIPアドレスを 見つけられるかをインターネットに知らせるものです。NSのレコードが不適切に設定されている場合 （つまり「ポイズニング」）、攻撃者はクエリを別のドメインの NSに転送できます。たとえば、 正しいWebサイトやアプリケーションを読み込む代わりに、ユーザーのトラフィックは、元のサイトのコピー ではあるもののマルウェアを配布してしまうサイトに誘導されてしまうことがあります。

ドメインハイジャックを防止する方法

組織がドメインハイジャックから身を守る最も簡単な方法は、強力なセキュリティ対策を提供する信頼できるドメインレジストラを選択することです。次のような特徴を探してください。

• 二要素認証（2FA）： 2FAでは、アクセスを許可される前に、すべての登録者の アカウント所有者は2つの異なる方法で自身の身元を証明する必要があります。
• ドメイン登録のプライバシー：ドメインプライバシーサービスは、 公開記録からのドメイン登録者の連絡先情報を編集することができます。
• レジストラーロック：一般市場のレジストラーの多くが レジストラーロックをサポートしています。このレジストラーロックは、登録者が明示的にロック解除しない限り、レジストリーが情報を変更できないようにします。
• レジストリーロック：レジストリーロックは、 複数の独立したオフライン検証ソースとステップを必要とする、より高いレベルのセキュリティです。
• 更新の猶予期間：有効期限後の猶予期間は、 有効期限に間に合わなかった顧客を救済するものです。これは、ファイル上のクレジットカードの有効期限が切れている場合、 自動更新を行っているユーザーにも影響する可能性があります。猶予期間のあるレジストラを選択することは、 有効期限が切れたドメインを悪用しようとする攻撃者を阻止するために不可欠です。

Cloudflareがドメインハイジャックを防ぐ方法

Cloudflareのドメイン名レジストラサービスであるCloudflare Registrarは、Enterpriseプランのお客様に、ドメインハイジャックを防止するCustom Domain Protectionを提供いたします。Custom Domain Protectionを使用すると、ドメインの所有権またはNSに加えられる変更はすべて、 手動で検証され、実行されます。厳格な変更プロトコルにより、いかなる変更も組織から 直接承認されるようになります。

また、Cloudflare Registrarには、すべてのドメインに対応したユニバーサルDNSSECが内蔵されており、さまざまなDNSベースの攻撃からドメインを保護することができます。