ドメインスプーフィングとは？| WebサイトスプーフィングとEメールスプーフィング

記事の概要：

• ドメインスプーフィングは、WebサイトのURLやメールアドレスを偽装してユーザーを欺くことです。攻撃者はフィッシングキャンペーンでこの戦術を用い、認証情報を盗んだり、マルウェアを仕込んだり、広告詐欺を働いたりします。
• 攻撃者は、視覚的に似たUnicode文字を使って偽のURLを作成するホモグラフ攻撃をしばしば行います。サイトのURLを慎重に調べ、SSL証明書の詳細を確認することが、悪性クローンサイトの識別に役立ちます。
• ドメインスプーフィングの阻止は難しいですが、メールにDMARCやDKIMを実装することでセキュリティを強化できます。さらに、SSL証明書があれば、サイトを訪問するユーザーがWebサイトの実在性を確認できます。

ドメインスプーフィングとは？

ドメインスプーフィングとは、サイバー犯罪者がWebサイト名やEメールドメインを偽って、ユーザーを欺こうとする行為を指します。ドメインスプーフィングの目的は、ユーザーに正規のEメールやWebサイトだと思わせて、悪意のあるEメールやフィッシングWebサイトとやり取りするよう仕向けることです。ドメインスプーフィングは、偽の資格証明書を見せて信頼を獲得し、相手を利用する詐欺師のようなものです。

ドメインスプーフィングはフィッシング攻撃で使われることが多々あります。フィッシング攻撃の目的は、アカウントのログイン資格情報やクレジットカードの情報などの個人情報を盗み、被害者をだまして送金させたり、ユーザーをだましてマルウェアをダウンロードさせたりすることです。ドメインスプーフィングは、広告主が支払いを行っているWebサイト以外のWebサイトに広告を表示して、広告主に支払いを強要するなどの広告詐欺の手段としても使用されます。

これは、DNSスプーフィングやキャッシュポイズニングそして、BGPハイジャック（乗っ取り）とは異なります。これらは、ユーザーを非正規のWebサイトにダイレクトする方法ではありますが、単に名前を偽るよりもだいぶ複雑な手法です。

ドメインとは？

正しくはドメイン名というドメインは、Webサイトのフルネームです。「cloudflare.com」はドメイン名の一例です。企業や組織では、従業員が使用するEメールアドレスの「@」マークの後ろに、ドメインが使用されています。個人用Eメールアカウントは「gmail.com」や「yahoo.com」をドメインとして使用しているかもしれませんが企業の業務用Eメールは通常、企業のWebサイトを使用します。（ドメインの詳細については、DNSとは？をご覧ください。）

ドメインスプーフィングの主な種類とは？

Webサイト/URLスプーフィング

Webサイトスプーフィングは、ユーザーがよく知っていて、信頼している正規のWebサイトのURLに酷似した、または正規のURLをそのままコピーした偽のURLを使用して、攻撃者がWebサイトを構築することを指します。URLのなりすましだけでなく、攻撃者は、正規Webサイトのコンテンツやスタイルをコピーして、さらに画像やテキストで完全に本物になりすまします。

URLを真似るために、他言語の文字や、正規のASCII文字とほとんど同じに見える、ユニコード文字を使用することさえあります。（これはホモグラフ攻撃と呼ばれます。）精度の低いなりすましURLは、頻繁に使用される文字をURLに足したり、URLの一部に置き換えたりするだけで、ユーザーが本物でないことに気づくこともあります。

偽のWebサイトは通常、フィッシングのような犯罪行為に使われます。正規URLのように見せかけた偽のログインページで、ユーザーをだましてログイン資格情報を送信させます。なりすましWebサイトは、デマの流布やいたずらにも使用されます。

Eメールスプーフィング

Eメールスプーフィングとは、攻撃者が正規のWebサイトのドメインを使用した、偽のEメールアドレスを使用することを指します。これは、Eメールが構築されている簡易メール転送プロトコル（SMTP）にドメイン検証機能が組み込まれていないことから発生します。DMARCやDKIMなどの、最近開発された電子メールセキュリティプロトコルは、より強力な送信ドメイン認証機能を提供します。

攻撃者はEメールスプーフィングをフィッシング攻撃で頻繁に使います。ドメイン名になりますまし、フィッシング目的の偽装Eメールが本物だとユーザーに信じ込ませます。企業の代表者から来たと思わせるEメールは、その他のドメインから送信されたEメールよりも、一見、信頼性が高いように見えます。

フィッシング攻撃の目的は、騙されたユーザーが特定のWebサイトにアクセスしたり、マルウェアをダウンロードしたり、悪意のあるEメールの添付ファイルを開いたり、アカウントの資格情報を入力したり、攻撃者が管理するアカウントに送金したりすることです。

Eメールのなりすましは、多くの場合、Webサイトのなりすましとペアになっています。EメールがなりすましのWebサイトにつながり、そこでユーザーがアカウントのユーザー名とパスワードを入力するよう設計されているためです。

広告でのドメインスプーフィング

広告詐欺を行う詐欺師は、正規のWebサイト名に似せたWebサイトを構築し、正規Webサイトからトラフィックを引き寄せ、広告主に対し、なりすましサイトでの広告掲載への入札を勧めます。その結果、掲載された広告をクリックすると、広告主が希望したWebサイトの代わりにまったく別の望ましくないサイトが開きます。

では、ユーザーはどうすればドメインスプーフィングから身を守ることができるでしょうか。

ソースに注意する。Eメールに記載されたリンクか。全く予期しないEメールではなかったか。予期せぬ要求や警告は、詐欺師からのものである場合が多々あります。

URLを入念に確認する。本来あるべきではない追加の文字がないか。URLをコピーして新しいタブに貼り付けても、まだ同じように表示されるか。（これはホモグラフ攻撃の検出に役立ちます。）

SSL証明書があることを確認する。SSL証明書とは、Webサイトを識別し、Webサイトとの間のトラフィックを暗号化するテキストファイルです。SSL証明書は通常、外部の認証局により発行されます。発行前に認証局は証明書の発行を依頼した者が、実際にそのドメイン名を所有していることを（最低限であることが多いのですが、）確認します。最近では、ほとんどすべての正規WebサイトがSSL証明書を所有しています。

SSL証明書がある場合には、その内容を確認します。SSL証明書に記載されたドメインは期待される通りの名前ですか？（SSL証明書をChromeで表示するには、URLバーの左端にある錠前アイコンをクリックして、次に [証明書] をクリックします。）なりすましWebサイトに本物のSSL証明書があったとしても、それは、なりすましドメイン名のための証明書であり、実際のドメイン名の証明書ではありません。

重要なWebサイトはブックマークに追加します。ブラウザに組み込まれたブックマークに正規Webサイトを保存します。リンクをクリックしたり、URLを入力したりする代わりに、ブックマークをクリックすることで、常に正しいURLを読み込むことができます。たとえば、「mybank.com」と入力したり、Googleで銀行のWebサイトを検索したりする代わりに、その銀行のWebサイトをブックマークを作成します。

企業が自社ドメインのなりすましを防御するには、どうすればいいでしょうか。

SSL証明書は、Webサイトのなりすましを困難にします。攻撃者は、なりすましドメインを登録することに加え、なりすましのSSL証明書を登録する必要があるためです。（Cloudflareは無料のSSL証明書を提供します。）

しかし、Eメールのドメインなりすましを阻止する方法はありません。企業はEMARCやDKIMをはじめ、その他のプロトコルを使用して、正規に送信するEメールに検証を加えることができますが、それでも外部の何者かが、所有するドメインを使って、検証なしの偽のEメールを送信することを止める手立てはありません。

よくある質問

ドメインスプーフィングとは？

ドメインスプーフィングとは、サイバー犯罪者が正当なWebサイト名やEメールドメインを偽って、ユーザーを欺こうとする行為を指します。ユーザーに本物であると錯覚させて、フィッシングサイトや不正なメールなどの悪意あるコンテンツにアクセスさせることを目的とします。

WebサイトスプーフィングとEメールスプーフィングの違いは？

Webサイトスプーフィングとは、本物のURLによく似たURLを使用した、本物を模倣した偽サイトを用意して、そこに資格情報を入力させる手口です。メールスプーフィングとは、正規の個人や企業のドメインに見せかけた偽のアドレスからメッセージを送信する手口です。

攻撃者が偽のURLを本物のURLのように見せかける手口は？

攻撃者は、見た目がほとんど同じUnicode文字や外国語の文字に置き換えるホモグラフ攻撃（同形意義語攻撃）と呼ばれる手法を使用します。他にも、似た文字を追加したり入れ替えたりして気付かない程度に微妙にURLを変える手法も使用します。

Webサイトがなりすまされたものかどうかを見分ける方法は？

まずSSL証明書を確認します。これにより、Webサーバーの正当性を確認することができます。仮になりすましサイトが証明書を保有していた場合も、本物のドメインではなく、偽のドメインに対して発行されたものになるため、URLをコピーして新しいタブに貼り付けて、文字が変更されているかどうかを確認したり、本来あるべきではない予期せぬ表記がないかをチェックすることも有効です。

自社ドメインのなりすましを防ぐために、企業がとれる対策は？

スプーフィング（なりすまし）を完全に阻止することは難しいですが、発行時に検証プロセスを必要とするSSL証明書を使用することで、なりすましされにくくすることができます。またメールについては、DMARCやDKIMといったセキュリティ対策を導入することで、送信元の正当性をより確実に検証できるようになります。

ドメインスプーフィングとDNSスプーフィングの違いは？

ドメインスプーフィングは、ドメイン名や見た目を偽装する比較的シンプルな手口です。DNSスプーフィング（キャッシュポイズニング）とBGPハイジャックは、インターネットの基盤そのものを操作してユーザーを別のサイトに誘導する、より高度で技術的な攻撃です。