「.zip」と「.mov」が新ドメインに 専門家が懸念するセキュリティリスクとは？

Googleは2023年5月に新たにジェネリックトップレベルドメインを導入した。これに対してセキュリティ研究者が特に「.zip」と「.mov」に懸念を表明している。しかし、一部の専門家はその見解には否定的だ。まずどういった点が問題視されているのかを把握しておきたい。

[後藤大地，有限会社オングス]

　コンピュータ情報サイトの「Bleeping Computer」は2023年5月16日（現地時間、以下同）、Googleが同年5月に新たに8つのジェネリックトップレベルドメイン（以下、gTLD）を導入したことを受け、追加ドメインの中でも「.zip」と「.mov」に関して、研究者間でサイバー攻撃に悪用されるリスクが議論されていると指摘した。

新たに追加された8つのgTLDの中でも「.zip」と「.mov」について、セキュリティ上の懸念があるとして研究者間で議論が巻き起こっている（出典：Bleeping ComputerのWebサイト）

アーカイブや動画ファイルと同名の新ドメイン　なぜ懸念されるのか？

　Googleは2023年5月に入ってから以下8つのgTLDに対応したことを発表した。

• 「.dad」
• 「.phd」
• 「.prof」
• 「.esq」
• 「.foo」
• 「.zip」
• 「.mov」
• 「.nexus」

　「.zip」や「.mov」というトップレベルドメインが提案されたのは現在よりもかなり前の時点だが、一般登録が開始されたのはGoogleがサービスを開始した2023年5月からとなる。本稿執筆時点で「.zip」と「.mov」はGoogleが登録および管理するgTLDであり、一般ユーザーが登録して利用可能だ。

　セキュリティ研究者やセキュリティベンダーの主な懸念は、「.zip」がzipアーカイブ／圧縮ファイルで使われるファイル拡張子であり、「.mov」が動画ファイルで使われるファイル拡張子である点だ。

　セキュリティ研究者によると、gTLDに登録されたことから今後アプリケーションなどはこれら拡張子を含む文字列をURLとして判断する可能性があり、ユーザーがファイルをクリックしたつもりでも、実際にはドメインとして解釈されその名前のドメインを登録しているWebサイトに誘導される可能性があるという。すでに「.zip」や「.mov」のドメイン登録が進んでいることから、サイバー攻撃に悪用される点が懸念されている。

　一方、こうした指摘は過剰だとするセキュリティ研究者やセキュリティベンダーもいる。類似の問題は現在にはじまったことではなくこれまでもすでに存在しており、アプリケーションやOSもこうした問題に対処している。「.zip」や「.mov」に関しても同様であり、今回の件を特別視する必要はないという主張だ。

　実際にどのようになっていくかは今後のサイバー攻撃を監視し分析していく必要がある。ユーザーはこうした新しい懸念が出てきたことを把握しておくとともに、従来通り、メールやメッセージ、Webページのリンクを不用意にクリックしないことなど、基本的な対策を継続して実施することが望まれる。