複数のドメインやサブドメインの利用に潜むセキュリティリスク

複数ドメインの脅威と対策を解説

2025年10月18日
著者: Ahona Rudra
翻訳: 東條 百々朱

この記事はPowerDMARCのブログ記事 Hidden Security Risks of Using Multiple Domains and Subdomains の翻訳です。
Spelldataは、PowerDMARCの日本代理店です。
この記事は、PowerDMARCの許可を得て、翻訳しています。

主なポイント

1. 複数のドメインを所有すると、セキュリティリスクも高まります。
   ドメインやサブドメインが増えるたびに攻撃対象領域が広がり、攻撃者に悪用される可能性が高まります。
2. サブドメインの乗っ取りは、決して珍しい攻撃ではありません。
   使用されていないサブドメインや設定に不備のあるサブドメインは、攻撃者に乗っ取られ、フィッシングメールの送信や悪意のあるコンテンツの公開に悪用される可能性があります。
3. ドメインスプーフィングやメールスプーフィングは、企業への信頼を損ないます。
   自社になりすましたドメインやメールが悪用されると、ブランドの評判が低下するだけでなく、顧客への被害や金銭的損失につながる可能性があります。
4. そのため、事前の対策が非常に重要です。
   定期的な監査、安全なDNS運用、SPF、DKIM、DMARCなどのメール認証を導入することで、攻撃を受けてから対処するよりも効果的にリスクを軽減できます。
5. 継続的な監視と教育も欠かせません。
   類似ドメインを監視し、従業員や顧客への教育を行うとともに、攻撃対象領域監視ツールを活用して脅威を早期に把握することが重要です。
6. また、脅威の手口は絶えず変化しています。
   クラウドサービスの設定不備、新しいトップレベルドメインの悪用、AIを利用した攻撃などにより、継続的な警戒の必要性は一層高まっています。

複数のWebサイトを所有すると、まるで広大なデジタル領域を運営しているように感じられるかもしれません。
新しいドメインやサブドメインを追加するたびに、新たな市場やビジネス機会が生まれます。
しかし、その一方で注意すべき点もあります。

鍵のかかっていない扉が攻撃者の侵入口になるように、適切に管理されていないドメインやサブドメインも攻撃の足掛かりとなります。
サイバー犯罪者は、このような弱点を熟知しています。
そのため、多数のドメインやサブドメインを所有し、広いデジタルフットプリントを持つ企業は、格好の標的となります。

ドメイン名のスプーフィングやサブドメインの乗っ取りに関するインシデントは、世界的に増加しています。
標的となるのは、SaaS企業や大手代理店だけではありません。
個人ブログ、顧客ポータル、専門サイトなどを複数運営するフリーランサーや論文執筆サービスの運営者も、同様のリスクに直面しています。

この記事では、複数のドメインやサブドメインを運用することで生じるリスク、その重要性、そして自社を保護するための対策について解説します。

複数のドメインに伴うリスクを理解する

具体的な対策を確認する前に、まず基本的な用語を整理しましょう。
ドメインスプーフィングとは、どのような攻撃なのでしょうか。
ドメインスプーフィングとは、攻撃者が利用者を騙すために、企業のドメイン名を偽装したり、よく似たドメインを作成したりする行為です。

例えば、正規のWebサイトに似せた偽サイトを作成したり、企業から送信されたように見えるメールを送ったりする手口があります。
攻撃者は、このようななりすましを利用して、ログイン情報を盗んだり、マルウェアを拡散したり、金銭を騙し取ったりします。
複数のドメインを所有している場合、リスクはさらに高まります。

所有するドメインやサブドメインが増えるたびに、攻撃対象領域も広がるためです。
DNSレコードが1つ増えるたびに、管理や保護が行き届かない箇所が生まれる可能性も高まります。
使用されていないマーケティング用のマイクロサイト、契約が終了したホスティングサービス、監視されていない顧客ポータルなどは、攻撃者に新たな活動拠点を与える可能性があります。

こうしたリスクの代表例が、サブドメインの乗っ取りです。
サブドメインの乗っ取りは、サブドメインのDNSレコードが、すでに利用を終了した外部サービスを参照したままになっている場合などに発生します。

例えば、shop.yourcompany.comを以前サードパーティー製のプラットフォームへ接続しており、サービスの利用終了後もDNSレコードを削除していなかったとします。
この場合、攻撃者が参照先のリソースを取得し、そのサブドメインを乗っ取る可能性があります。
これは、単なる理論上のリスクではありません。

essaywriters.comのMichael Perkins氏によると、詐欺師が学生を騙すために、学術論文執筆サービスを模倣した偽サイトを作成する事例も確認されています。
同氏が2024年に実施した社内調査では、学生から寄せられた苦情のうち、12％以上がなりすましサイトに関連するものでした。
このことからも、論文執筆サービスの運営者であっても、ドメインを悪用した詐欺の対象になり得ることが分かります。

実際に使用される攻撃手法

サブドメインの乗っ取り

代表的な事例の一つが、2022年から2024年にかけて確認されたSubdoMailingキャンペーンです。
攻撃者は、MSN、VMware、McAfee、The Economist、Marvelなどのブランドに関連する8,000以上のサブドメインを乗っ取りました。
これらのサブドメインには信頼性の高いブランド名が含まれていたため、攻撃者はセキュリティフィルタをすり抜け、数百万通ものフィッシングメールを送信できました。

Microsoft Azureだけでも、毎月約15,000件の脆弱なサブドメインが確認されています。
研究者は1,000を超える組織へ警告を送りましたが、そのうち98％は適切な対応を行いませんでした。
このことは、保護されていない多数の侵入口が放置されている現状を示しています。

メールドメインスプーフィング

メールスプーフィングでは、攻撃者が送信者名やメールヘッダを偽装し、正規の企業から送信されたメールのように見せかけます。
受信者は、信頼しているブランド名が表示されているため、メール内のリンクをクリックしてしまう可能性があります。
2024年には、Facebookを装ったフィッシング攻撃が44,750件確認されました。

これは、決して一時的な事例ではありません。
APWGの世界的なフィッシング動向レポートによると、2023年には過去最多となる約500万件のフィッシング攻撃が確認されました。

これらの攻撃の多くでは、利用者が見慣れた正規のドメインに似せたドメインが使われていました。
適切なドメインスプーフィング対策を行っていなければ、小規模な組織であっても、そのブランドや評判を第三者の詐欺行為に悪用される可能性があります。

事業およびブランドへの影響

使用されていないサブドメインや、なりすましメールが攻撃に悪用された場合、どのような影響が生じるのでしょうか。
その影響は、企業が想定する以上に深刻なものとなる可能性があります。

評判の低下

フィッシングメールや偽のWebサイトに自社名が使用されると、顧客からの信頼が損なわれます。
それが企業側のミスによるものか、攻撃者によるなりすましなのかを、顧客が正確に判断できるとは限りません。
顧客の目に映るのは、自社ブランドが攻撃に利用されたという事実です。

金銭的損失

2024年におけるフィッシング関連のデータ侵害では、平均被害額が490万ドルに達しました。
この金額には、顧客離れ、返金対応、業務停止などによって生じる間接的な損失は含まれていません。

顧客への被害

偽の決済ページや複製された顧客ポータルによって、顧客の金銭や認証情報が盗まれる可能性があります。
その結果、自社のユーザが直接的な被害を受けることになります。

業務の混乱

ドメインがブロックリストへ登録されたり、サービスが突然停止したりする可能性があります。
また、「当社からのメールを信用しないでください」と顧客へ緊急で案内しなければならないなど、事業運営に大きな混乱が生じます。

コンプライアンス違反や法的責任

GDPR、HIPAA、各地域のデータ保護法では、ドメイン管理に不備があったことを理由に責任を免れることはできません。
管理上の不備によって詐欺や情報漏洩が発生した場合、規制当局からの処分や訴訟に発展する可能性があります。

ドメインスプーフィングが発生した後に、どのように被害を止めるかを考えることも重要です。
しかし、攻撃を受けてから対処するよりも、事前に予防する方が、はるかに少ないコストで被害を抑えられます。

ドメインおよびサブドメイン攻撃の実際の影響

予防および保護戦略

ここからは、自社で実施できる対策について説明します。
複数のドメインを安全に管理するには、複数の対策を組み合わせた多層的な防御が必要です。

1.すべてのドメインとサブドメインを監査する

管理しているすべてのドメインとサブドメインについて、常に最新の一覧を維持してください。
使用していないDNSレコードは速やかに削除し、攻撃対象領域を縮小することが重要です。

2.DNSを保護する

重要なドメインには、レジストリロックを設定してください。
DNSSECを有効にし、DNS応答の改竄や偽装を防止してください。
外部サービスの利用を終了した場合は、参照先が存在しなくなったDNSレコードを速やかに削除しましょう。

3.メール認証を導入する

SPFとDKIMを設定し、DMARCによって保護を強化してください。
DMARCポリシーを段階的に強化し、最終的には認証に失敗したメールを隔離または拒否できる状態を目指しましょう。

4.類似ドメインを監視する

タイポスクワッティングや、見た目のよく似た文字を使用した類似ドメインを継続的に監視してください。
予算に余裕がある場合は、悪用される可能性が高い類似ドメインをあらかじめ登録することも有効です。

5.サブドメインのセキュリティを強化する

すべてのサブドメインでHTTPSを使用してください。
1つのシステムで発生した侵害がほかのシステムへ拡大しないように、アプリケーションや環境を適切に分離しましょう。
また、証明書透明性ログを監視し、自社ドメインに対して不審な証明書が発行されていないか確認してください。

6.従業員と顧客を教育する

従業員が、なりすましメールや不審なドメインを見分けられるように教育してください。
また、顧客がメールやWebサイトの正当性を確認できるよう、公式な連絡方法や確認手順を明確に案内することも重要です。

7.セキュリティツールを活用する

PowerDMARCなどのメール認証管理プラットフォームや、攻撃対象領域監視ツールを活用することで、多数のドメインを含む環境全体を可視化できます。
これにより、設定不備や不審なドメインを早期に検出し、迅速に対応できるようになります。

2022年から2025年にかけて見られる新たな動向

ドメインやサブドメインを取り巻くリスクは、決して縮小していません。
今後の脅威に影響を与える主な動向は、以下のとおりです。

大規模化するフィッシング

2023年には約500万件のフィッシング攻撃が確認され、その件数は現在も増加しています。

クラウドサービスの設定不備

SaaSやクラウドサービスは事業の成長を促進する一方で、利用終了後もDNSレコードが残るなど、脆弱なサブドメインが放置される原因にもなっています。

新しいTLDの悪用

.xyz、.app、.shopなどの新しいトップレベルドメインは、フィッシングキャンペーンに悪用されることがあります。
ただし、これらのTLD自体が危険なのではなく、低コストで取得しやすいことや、正規サービスに似たドメインを作りやすいことが、攻撃者に利用される要因となっています。

AIを利用した攻撃の自動化

攻撃者はボットやAIを活用し、人の手による監視や修正よりも速い速度で、設定不備や脆弱なサブドメインを検出しています。

セキュリティ意識の高まり

規制当局、保険会社、メールサービス事業者は、企業に対してより強固なセキュリティ対策を求めるようになっています。
DMARCの導入率も、緩やかではあるものの着実に上昇しています。

まとめ

複数のドメインを運用することには、大きな責任が伴います。
所有するすべてのドメインと、作成したすべてのサブドメインは、自社ブランドを構成する重要なオンライン資産です。

そのうち1つでも適切に管理されていなければ、攻撃者に悪用される可能性があります。
ドメインスプーフィングやサブドメインの乗っ取りなど、想定されるリスクを理解したうえで、事前に対策を講じることが重要です。

所有するドメインとサブドメインを定期的に監査しましょう。
DNSのセキュリティを強化しましょう。
SPF、DKIM、DMARCを導入しましょう。

類似ドメインを監視しましょう。
従業員や顧客への教育も継続してください。

攻撃者が攻撃を試みなくなることはありません。
しかし、継続的な監視、適切なポリシー、効果的なセキュリティツールを組み合わせることで、自社のデジタル資産を安全に保ちながら、事業を成長させることができます。