複数ドメインとサブドメインの使用による隠れたセキュリティ・リスク

ブログ,サイバーセキュリティ

サブドメインのハイジャック、ドメインや電子メールのなりすまし、フィッシング攻撃など、複数のドメインやサブドメインを管理する際の隠れたセキュリティリスクをご紹介します。

byアホナ・ルドラ

最終更新日:
5 読了時間：5分
複数ドメインとサブドメインの使用による隠れたセキュリティ・リスク
目次-

主なポイント

  • マルチドメインがリスクを高める:ドメインやサブドメインが増えるたびに攻撃対象が広がり、攻撃者にとってより多くの機会が生まれます。
  • サブドメインの乗っ取りはよくあること:忘れられたサブドメインや設定ミスのサブドメインは、フィッシングメールの送信や悪意のあるコンテンツのホスティングのために攻撃者によって主張される可能性がある。
  • ドメインと電子メールのなりすましによる信頼の毀損:なりすましのドメインやメールは、ブランドの評判を落とし、顧客に影響を与え、金銭的な損失をもたらします。
  • 予防が重要:定期的な監査、安全なDNSの実践、電子メール認証（SPF、DKIM、DMARC）は、攻撃を受けてから対応するよりも効果的です。
  • モニタリングと教育:ルックアライク・ドメインを追跡し、従業員や顧客を教育し、アタック・サーフェス・モニタリング・ツールを使用して脅威の一歩先を行く。
  • 新たな脅威は進化している：クラウドの誤設定、新TLDの乱用、AIを活用した攻撃など、継続的な警戒の必要性が浮き彫りになっている。

複数のウェブサイトを所有することは、デジタル帝国を経営しているような気分になる。新しいドメインやサブドメインが増えるたびに、新しい市場やチャンスへの扉が開かれる。しかし、鍵のかかっていないドアはすべて、攻撃者の侵入口にもなり得るのです。

サイバー犯罪者はこのことを知っている。彼らは広大なデジタルフットプリントを持つ企業を悪用するのが大好きだ。ドメイン名のなりすましやサブドメインの乗っ取りは、この3年間で世界的に急増している。そして、ヒットリストに載っているのはSaaS企業や大手代理店だけではない。フリーランサーや エッセイライター個人ブログ、クライアントポータル、ニッチサイトを運営しているフリーランサーやエッセイライターでさえ、同じリスクに直面している。

この記事では、これらのリスクがどのようなものか、なぜ重要なのか、そして自分自身を守るために何ができるのかを説明する。

複数ドメインのリスクを理解する

戦術的な話をする前に、まず明確にすることから始めよう。

だから ドメイン・スプーフィングとは何か？?攻撃者があなたのドメイン名を偽造または模倣して人々を騙すことです。あなたの会社に似せた偽のウェブサイトや、あなたの会社から来たふりをしたメールを思い浮かべてください。攻撃者はなりすましを利用して、ログイン情報を盗んだり、マルウェアを拡散させたり、詐欺を働いたりします。

ここに複数のドメインが加わる。ドメインやサブドメインを所有するたびに、攻撃対象は拡大する。DNSのレコードが1つ増え、ドアをロックし忘れる可能性がある場所が1つ増えるのだ。放置されたマーケティング用マイクロサイト、期限切れのホスティング・アカウント、監視されていない顧客ポータルサイトはすべて、攻撃者に新たな遊び場を提供する。

このリスクの大部分は、サブドメインの乗っ取りである。サブドメインが、もう使っていないサービスを指している場合だ。例えば shop.yourcompany.comをサードパーティのプラットフォームに接続したまま、DNSエントリーを削除しなかった場合、攻撃者が急襲してリソースを要求し、サブドメインを支配する可能性がある。

これは単なる理論ではない。essaywriters.comのマイケル・パーキンズは、詐欺師は学生を騙すためにアカデミック・ライティング・サービスのクローンまで作っていると指摘している。2024年の社内調査では、学生からの苦情の12％以上がなりすましサイトにリンクしていた。

脅威説明例
ドメイン・スプーフィング攻撃者はユーザーを騙すために、そっくりなドメインを作ったり、ドメイン名を偽造したりします。"yourbrand-secure.com "の偽ログインページで顧客情報が盗まれる。
サブドメインのハイジャック犯罪者は、忘れ去られたサブドメインや設定ミスのサブドメインを乗っ取る。古いshop.yourcompany.comは、スパムのために乗っ取られた、引退したサービスを指している。
メールのなりすまし送信者名やヘッダーを偽装することで、メールがあなたのドメインから送信されているように見せかける。から送られた偽の請求書@yourcompany.com から送られる偽の請求書は、顧客を騙して詐欺師に支払わせる。

アタックベクターの活躍

サブドメインハイジャック

最も有名なケースは サブドメールキャンペーン（2022～2024年）.攻撃者は、MSN、VMware、McAfee、The Economist、Marvelといったブランドの8,000以上のサブドメインを乗っ取った。サブドメインは依然として信頼できる名前であったため、攻撃者はフィルターをすり抜ける数百万通のフィッシング・メールを送信した。

Microsoft Azureだけでも、毎月約15,000の脆弱なサブドメインが確認されている。研究者は1,000以上の組織に警告したが、98％が警告を無視した。これは、多くの無施錠のドアが風に揺られたまま放置されていることになる。

ドメイン偽装メール

ここでは、犯罪者が送信者の名前やヘッダーを偽造し、あなたの会社からのメールであるかのように見せかけます。被害者は信頼のおけるブランドを目にし、クリックする。

2024年、44,750件のフィッシング攻撃でフェイスブックのドメインが詐取された。しかも、これは一過性のものではない。APWGの APWGグローバル・フィッシング・トレンド・レポートフィッシングは2023年に過去最高を記録し、約500万件のインシデントが記録された。これらの攻撃のほとんどは、見慣れたドメインに見せかけたものであった。

ドメイン・スプーフィング対策がなければ、小さな組織であっても、他人の詐欺のために評判を乗っ取られる危険性がある。

ビジネスとブランドへの影響

サブドメインを忘れたり、なりすましのEメールが紛れ込んだりすると、どんな最悪の事態が起こるのだろう？たくさんある。

  • 評判フィッシングEメールや偽サイトがあなたの名前を伝えると、信頼は失墜します。顧客は、それがあなたのミスであろうと犯罪者の手口であろうと気にしません。
  • 金銭的損失。2024年におけるフィッシング関連のデータ漏洩の平均コストは490万ドル。また、これは解約や返金といった間接的な損失はカウントしていない。
  • ターゲットとなる顧客なりすましのチェックアウトページやクローン化されたポータルは、財布の中身を抜き取り、認証情報を盗み出します。ユーザーは巻き添えを食うことになります。
  • 運営上の混乱。ブラックリストに登録されたドメイン、突然のダウンタイム、「当社からのEメールを信用しないでください」と顧客に伝えるための奔走は、純粋な混乱を引き起こす。
  • コンプライアンスと法的トラブル。GDPR、HIPAA、あるいは現地のデータ法では、ずさんなドメイン管理は許されません。あなたの過失が不正を可能にした場合、訴訟は後を絶ちません。

ドメイン・スプーフィングが発生したら、それを阻止する方法を知りたいと思うかもしれないが、真実は単純である。

ドメイン攻撃とサブドメイン攻撃の実社会への影響

会社/タイプ攻撃結果
MSN（マイクロソフト）サブドメイン乗っ取り（SubdoMailingキャンペーン）ハイジャックされたサブドメインがフィッシングメールの送信に使用され、ブランドの信頼が損なわれた。
フェイスブックドメイン・スプーフィング2024年に44,750件のフィッシング攻撃がフェイスブックになりすまし、数百万人のユーザーを騙した。
SaaSスタートアップメールのなりすましなりすましドメインから送られた偽の請求書 → 顧客は金銭を失い、ブランドの評判は低下。

予防と保護戦略

ここであなたが主導権を握ります。複数のドメインを安全に管理することは、防御の層を厚くすることです。

予防と保護-戦略

1.すべてを監査する 

すべてのドメインとサブドメインの最新のインベントリを管理する。未使用のレコードを素早く削除し、攻撃対象領域を縮小する。

2.セキュアDNS 

キードメインにレジストリロックを使用する。有効にする DNSSECを有効にする。サービス終了時にぶら下がったレコードを削除する。

3.電子メール認証 

SPFとDKIMを導入し、次に DMARCでロックする.認証されていないメールを拒否するポリシーを発行する。

4.そっくりさんモニタリング 

タイポスクワットやホモグリフ・ドメインに注意する。予算が許せば、最も明白な亜種を自分で登録する。

5.ハード化されたサブドメイン 

HTTPSをあらゆる場所に適用する。アプリを隔離し、1つの侵害が広がらないようにする。不審な変更がないか証明書のログを監視する。

6.チームと顧客のトレーニング 

なりすましメールを見破る方法を従業員に教える。顧客が真正なメールかどうかを確認できるよう、明確な指示を共有する。

7.セキュリティツールの使用 

PowerDMARCやその他の攻撃サーフェス監視ツールのようなプラットフォームは、広大なドメイン・ポートフォリオを可視化する。

リスクは縮小していない。次の波を形作るものは何か：

  • 大規模なフィッシング約500万件の フィッシング2023年には約500万件のフィッシングが試みられ、この曲線はまだ上昇を続けている。
  • クラウドの誤設定。SaaSやクラウドサービスは成長を促進しますが、同時に何千もの脆弱なサブドメインを残します。
  • 新しいTLDの悪用。.xyz、.app、.shopで終わるドメインは、フィッシング・キャンペーンで悪用されています。
  • AIの自動化。攻撃者はボットやAIを使って、人間が修正するよりも早く誤設定をスキャンする。
  • 意識の高まり。規制当局、保険会社、プラットフォームは、より強固な防御を求め始めている。DMARCの導入は、徐々にではあるが確実に進んでいる。

2022-2025年の新たなトレンド

最終的な感想

複数のドメインを運営することは、大きな責任を伴います。購入したドメインも、立ち上げたサブドメインも、すべてブランドのオンライン資産の一部です。1つでも放置すれば、攻撃者はそれを要求するでしょう。

良い面もある。ドメイン・スプーフィングからサブドメイン乗っ取りキャンペーンに至るまで、リスクを知り、予防のためのプレイブックを手に入れたのだから。ドメインを監査する。DNSをロックダウンする。DMARCを導入する。 DMARC.そっくりさんを監視する。従業員を教育する。

攻撃者たちは挑み続けます。しかし、用心深さ、賢明なポリシー、そして適切なツールがあれば、デジタル帝国の安全と繁栄を保つことができます。

最新記事 by Ahona Rudra(全て見る)
最終更新日:
DomainKeys vs. DKIM：その違いは？HIPAA電子メールの暗号化：知っておくべきこと