「ラブライブ！」乗っ取りを“教訓”に ドメイン名の価値に見合った管理方法（4/4 ページ）

人気アニメ「ラブライブ！」の公式サイトが乗っ取られ、ページに「ラブライブは我々が頂いた！」と表示される事件が発生。ドメイン管理の“落とし穴”を狙った類似の手口は以前から起きていた。その手口は。

[高橋睦美，ITmedia]

　海外ではレジストラ自身が不正アクセスを受け、IPアドレスとドメイン名をひも付ける登録情報そのものが書き変えられた上、サーバ証明書までが不正に発行された事件が発生しました。日本国内でも2014年に、複数の企業や組織で、レジストラ経由で登録情報が書き変えられる事件が報じられ、JPCERTコーディネーションセンターが注意喚起を行っています。

　厄介なのは、こうしてDNS（Domain Name System）の登録情報が書き変えられると、それを信じてアクセスしてきたユーザーがなかなか気付けない点です。今回の事件でも証明書が発行されたとの報告がありますが、ドメイン名のハイジャックに加え、サーバ証明書まで発行されてしまえば、もはや何を信頼の基盤にすればいいか分からない、ということになりかねません。

　不幸中の幸いというべきか、この一件では、ドメイン名の移管後に誰でも分かるような形でWebを書き変えてアピールしてくれたため、アクセスしてきた多くのユーザーが気付き、注意喚起することができました。けれど、次もそうなるとは限りません。ましてや、分かりやすいインタフェースを備えていない組み込み機器やIoTの世界では、登録情報が書き変えられても発見が遅れる恐れがあります。

　もう1つ不幸中の幸いというべきは、アクセスしてきたユーザーが別のサービスにリダイレクトするようになっていたことです。けれど同じ仕掛けを用いれば、アクセスしてきたユーザーを外部の別のサイトに誘導してフィッシング詐欺を働いたり、クライアント側の脆弱性を突いて何らかの不正なソフトウェアをインストールさせようと試みることも理論的には可能です。

　今回の一件で、あらためてドメイン名の価値が認識され、同時にそれを支える仕組みが意外ともろいことを痛感させられました。

登録情報の書き換えを制限する「レジストリロックサービス」=JPRSのWebサイトより

　企業や組織は、自社がどんなドメイン名を登録しているかを確認して管理体制を見直し、場合によっては、意図に反した登録情報の書き換えを制限する「レジストリロックサービス」を検討する必要があるでしょう。もし、こうしたオプション料金を支払うのが難しい場合は、申請者とレジストラとの間でルールと万一に備えた連絡方法を確認したり、レジストリの管理コンソールにアクセスする際には二要素認証を利用するなど、一手間かけて管理体制を整えることから始めるのがいいのではないでしょうか。

　同時にDNS関連サービスを提供する事業者には、分かりやすい情報提供と、価格とドメインの価値に見合った管理体制を強く期待したいところです。