URL操作（URLリライティング）とは？ 攻撃者がフィッシングを隠蔽するために信頼できるリンクを乗っ取る仕組み
by
最終更新日: 9 読了時間：約9分
主なポイント
- URL操作とは、攻撃者がユニフォーム・リソース・ロケーター（URL）の構成要素を改ざんし、アクセス制御を迂回したり、許可されていないページを閲覧したり、他のユーザーのデータにアクセスしたりするウェブセキュリティ攻撃の手法です。
- セキュリティゲートウェイ（Safe Links や Proofpoint など）は、クリック時の検査を通じてユーザーを保護するためにリンクを書き換えますが、攻撃者はこうした信頼できるベンダーのラッパーを積極的に悪用し、フィッシングの標的となるURLを隠蔽しています。
- 最近の攻撃キャンペーン（Tycoon2FAやSneaky2FAといったAiTMキットによって行われるもの）では、自動スキャナーを回避するために、3社から5社のセキュリティベンダーを順次連結させています。
- 攻撃者は、スピアフィッシング攻撃において改ざんされたリンクを使用し、ユーザーを騙して悪意のあるOAuth権限を付与させ、パスワードのリセット後も維持される受信トレイへの永続的なアクセス権を確保します。
- セキュリティベンダーのドメインが表示されているリンクであっても、安全性が保証されるわけではありません。セキュリティチームは、リダイレクトの全経路を精査し、フィッシング攻撃に耐性のある多要素認証（MFA）を徹底する必要があります。
- DMARCはリダイレクトリンクを変更することはありませんが、「p=reject」を適用することで、攻撃者が最初の誘引メールを標的の受信箱に届けるために利用する、なりすましドメインを経由した配信経路を遮断することができます。
受信トレイに、すでにスキャン済みのリンクが記載されたメールが届きます。そのウェブアドレスにカーソルを合わせると、Microsoft Safe Links のような信頼できるセキュリティプロバイダーによる安全なドメインが表示されます。組織のセキュリティツールによってそのリンクが保護・承認されているため、迷うことなくクリックしてしまいます。数秒後、あなたは認証情報を盗み取るために巧妙に作られた、本物そっくりのログインページに誘導されてしまいます。
この脅威を理解するには、「URL操作」と「URL書き換え」という2つの関連する概念を明確に区別する必要があります。URL操作とは、ユーザーやセキュリティツールを欺くために、リンクを変更、偽装、または悪用するあらゆる手法を総称する広義の用語です。URL書き換えは、その総称に含まれる具体的な処理の一つです。
防御面では、エンタープライズ向けメールセキュリティゲートウェイは、受信メール内のリンクを書き換えることで、リアルタイムの保護を実現しています。しかし、攻撃者たちはまさにこの仕組みを悪用する方法を編み出し、セキュリティ機能を悪意のあるコンテンツを隠すための巧妙な盾に変えてしまっています。
URLの改ざんとは何か？
URL操作とは、ユーザーを欺いたり、自動化されたセキュリティフィルターを迂回したりするために、Webアドレスを改ざん、偽装、または悪用するあらゆる悪意のある、あるいは欺瞞的な手法の総称です。攻撃者は、悪意のあるWebサイトを安全で信頼できる環境のように見せかけるために、この手法を利用します。
セキュリティの専門家は、この表現をいくつかの異なる文脈で使用するため、以下の3つの異なるシナリオを区別しておくと理解が深まります：
- 防御型URL書き換え：セキュリティソフトウェアは、メールのリンクを配信時に変更し、ベンダーのドメインで囲むことで、リンクがクリックされた際にリアルタイムでのチェックを可能にします。
- URL書き換えの悪用：サイバー犯罪者は、アカウントを乗っ取ったり、セキュリティベンダーを連鎖的に悪用したりして、危険なフィッシングリンクを安全に見えるように仕向ける。
- Webパラメータ改ざん：攻撃者がWebブラウザのアドレスバーでパラメータを手動で編集し、認証制御を迂回しようとする、開発者を標的とした攻撃。Open Worldwide Application Security Project（OWASP）は、これを「Webパラメータ改ざん」または「不安全な直接オブジェクト参照（IDOR）」として分類している。
リンクの基本的な仕組みについてさらに詳しく知りたい場合は、URLフィッシングとは何かに関するガイドをご覧ください。この記事の残りの部分では、攻撃者が電子メールのリンクラップ機能をどのように悪用しているかに焦点を当てます。
URLリライトとは（そして「安全なリンク」とは？）
URL書き換えは、受信メッセージ内の元のリンクを、セキュリティベンダーのプロキシサーバーを指す変更済みのURLに置き換える、自動化された電子メール防御メカニズムです。Microsoft（Safe Links）、Proofpoint（URL Defense）、Mimecast、INKY、Sophos、Barracuda、Cisco、Trend Micro、EdgePilot、Libraesvaなどの主要なセキュリティベンダーは、このリンクラッピングモデルを採用し、企業の受信トレイを保護しています。
メールが届くと、セキュリティゲートウェイは本文内のすべてのWebアドレスを書き換えます。受信者が書き換えられたリンクをクリックすると、そのブラウザはまずベンダーのゲートウェイにリダイレクトされます。ゲートウェイは対象のWebページをリアルタイムで検査し、ページが安全であればブラウザをリダイレクトします。対象が悪意のあるものである場合、ゲートウェイはアクセスをブロックします。
防御型URL書き換えの仕組み：セキュリティゲートウェイは、単に配信時だけでなく、クリックされたその瞬間に宛先を確認します。
この「クリック時検査」が存在するのは、サイバー犯罪者が配信後にウェブサイトの動作を頻繁に変更するためです。午前9時にメールが受信トレイに届いた時点では、リンク先がまったく無害なウェブページだったとしても、午後2時になると、その同じリンクが、代わりに認証情報を盗み出す悪意のあるサイトへリダイレクトされる可能性があります。
セキュリティプロバイダーのバラクーダは、同社のLinkProtectエンジンが毎週1,000万件以上のクリックリクエストを検査していると報告した。スキャンされたリンクのうち、送信時点ではなくクリック時点で悪意のあるものであると判明するのは、およそ1％に上る。
定番のURL操作手法
攻撃者がセキュリティツールを悪用する手法を検証する前に、その道を開いた古典的なリンク操作の手法について触れておく価値がある。
Punycode および IDN の同形異義語攻撃
国際化ドメイン名（IDN）により、WebアドレスにASCII以外の文字を使用できるようになります。攻撃者は、Punycodeエンコーディングを利用して、ラテン文字と視覚的に区別がつかない外国語の文字を含むドメインを登録します。例えば、攻撃者はラテン文字の「a」をキリル文字の「а」に置き換えてドメインを登録することがあります。閲覧者にとっては、そのドメインは本物のブランド名と全く同じように見えますが、ブラウザはそのアドレスをまったく別のサーバーへのものとして変換してしまいます。
タイポスクワッティングと表示テキストによる欺瞞
タイポスクワッティングは、文字の省略やハイフンの余分な挿入、あるいは「.com」の代わりに「.co」といったトップレベルドメインの入れ替えなど、よくある入力ミスを利用します。攻撃者は、タイポスクワッティングとHTMLの表示テキストを巧みに組み合わせることもよくあります。例えば、メール上では「https://yourbank.com」といった一見安全なテキストが表示されていても、実際のHTMLのhref属性によって、ユーザーは悪意のあるサイトに誘導されてしまうことがあります。これらの手口について詳しくは、タイポスクワッティングとは何かに関する当社の詳細ガイドをご覧ください。
多重化されたURL短縮サービスとオープンリダイレクト
攻撃者は、複数のURL短縮サービスを組み合わせて使用することがよくあります。最終的なターゲットを複数の短縮リンクで覆い隠すことで、単純な評判チェックではその行き先を特定できなくなります。同様に、攻撃者は正規のWebアプリケーションにおけるオープンリダイレクトを悪用します。信頼できるドメインのリダイレクトスクリプトに宛先パラメータを追加することで、最初のリンクは信頼できるサイトを指しているように見せかけつつ、ユーザーを即座に悪意のあるホストへ転送します。
これに関連する手口として、ブラウザがURLに埋め込まれた認証情報を解析する仕組みを悪用するものがあります。@記号より前の部分は、宛先ドメインではなくログイン情報として扱われるため、https://[email protected] のようなリンクは、一見すると信頼できるブランドへのリンクのように見えますが、実際には訪問者を malicious-domain.com に誘導してしまいます。
Webアプリケーションのパラメータ改ざん（OWASP）
Webアプリケーションのセキュリティにおいて、URLの改ざんは異なる形態をとります。ユーザーは、ブラウザのアドレスバーでクエリパラメータやディレクトリ構造を手動で変更し、アクセス権限のないレコードを表示しようとします。この種の脆弱性はWebアプリケーションのセキュリティにとって極めて重大ですが、電子メールを用いたソーシャルエンジニアリングではなく、ブラウザの直接的な操作を伴うものです。
攻撃者がURL書き換えそのものをどのように悪用しているか（2024年～2026年）
URLセキュリティにおいて最も懸念される動向は、攻撃者が防御用のURL書き換えを回避手法として悪用するようになった点である。脅威アクターは、ベンダーのドメインラッパーを回避するのではなく、悪意のあるメッセージを正当なものに見せかけるために、積極的にそれらを探し出している。
発見：アカウントの不正利用と許可リストの不備
2024年半ば、Perception Pointのセキュリティ研究者は、攻撃者が自動URL書き換え機能によって保護されていた正規のMicrosoft 365アカウントを乗っ取った攻撃キャンペーンを特定しました。攻撃者は、乗っ取ったアカウントから自身宛てに無害なリンクを送信し、セキュリティツールによってそのアドレスが信頼できるベンダーのURLに書き換えられるようにしました。書き換えられたラッパーリンクを入手すると、攻撃者はターゲットとなるバックエンドの宛先を悪意のあるフィッシングサイトへ変更し、その信頼できるリンクを標的となる組織に配布しました。
この手口は、許可リストの抜け穴を悪用するものです。一部のメールセキュリティゲートウェイは、自社のドメイン名でラッピングされたリンクを自動的に信頼します。リンクの発信元が社内のセキュリティプロバイダーであるように見えるため、下流のフィルタでは、そのリンクの背後にあるアドレスを再スキャンせずに通過させてしまうことがよくあります。
記録されたキャンペーン：二重書き換えとブランド濫用
セキュリティ研究者らは、リンクラッピングのインフラを悪用した複数の攻撃キャンペーンを報告した：
- ダブル・リライト攻撃：研究者らは、ProofpointとINKYのリライトを連鎖させた攻撃の実例を報告した。このメールでは、SharePointを餌とした罠とCAPTCHAゲートを用いて、ユーザーの認証情報を収集する前に自動スキャナーが宛先ページを解析するのを防いでいた。
- Mimecast Wrapperの悪用：攻撃者は、企業のログイン認証情報を収集する宛先サーバーを隠蔽するため、Mimecastのリライトインフラストラクチャを経由してフィッシングリンクをルーティングした。
- IRSを装った詐欺：サイバー犯罪者たちは、セキュリティベンダーのドメインを利用してユーザーの警戒をかわすため、ソフォスが書き換えたリンクを用いて、IRSおよびID.meを装った。
セキュリティツールを被害者に対して悪用する：OAuthの持続性
2024年後半にAbnormal Securityが発表した調査では、リンクの改ざんが、パスワードの盗難にとどまらず、持続的なアクセス権の取得につながる仕組みが明らかにされた。攻撃者はM365アカウントを乗っ取り、組織のメールゲートウェイを経由して改ざんされたリンクを生成した。そして、その信頼性の高いリンクを、マイクロソフトの公式セキュリティアラートを装ったスピアフィッシング攻撃に利用した。
受信者がリンクをクリックすると、CAPTCHAを完了させられ、悪意のあるOAuthアプリケーションへのアクセス許可を付与するよう求められました。このOAuthトークンにより、攻撃者は被害者の受信トレイへの永続的なアクセス権を獲得し、その後のパスワードリセットや標準的な多要素認証のチェックを迂回することが可能になりました。この永続化の手法は、企業向けビジネスメール詐欺の増加を後押しする要因となっています。
2025～2026年のエスカレーション：マルチベンダーのリダイレクトチェーン
LevelBlue SpiderLabsの調査によると、2025年末から2026年初頭にかけて、脅威アクターはこれらの手法をマルチベンダーのリダイレクトチェーンへと発展させていたことが明らかになった。Tycoon2FAやSneaky2FAといった最新の「フィッシング・アズ・ア・サービス（Phishing-as-a-Service）」プラットフォームは、3社、4社、あるいは5社の異なるセキュリティベンダーを順次経由する複雑なリダイレクト経路を構築している。
これらのプラットフォームは、Adversary-in-the-Middle（AiTM）キットとして機能します。単に静的なパスワードを盗み出すだけでなく、進行中の認証セッションをリアルタイムでプロキシし、セッションクッキーを傍受することで、標準的な多要素認証（MFA）を迂回します。
LevelBlue SpiderLabsは、1,200文字を超える単一のリンクを含むTycoon2FAキャンペーンを報告しました。 その背後にあるアドレスは、Libraesva → Sophos → INKY → EdgePilot → Barracudaという5つの異なるベンダーのドメインを経由して順次ルーティングされていました。おとりメール自体は、Microsoftの文書署名通知を装ったものでした。自動スキャナーを排除するために設けられたCAPTCHAのゲートを通過した後、被害者は、認証情報を収集するために作成された偽のMicrosoftログインページに誘導されました。
記録された「Tycoon2FA」のチェーン：CAPTCHAゲートと偽のログインページに至るまでの、5つの信頼できるベンダードメインが連続して配置されている。（出典：LevelBlue SpiderLabs）
同様に、Pauboxなどのセキュリティ情報集約サイトによる報告や、TechRadarおよびGBHackersでの調査を追跡した結果によると、HTML添付ファイルを介して配信される3層のチェーン（Barracuda → Sophos → Cisco）を利用したSneaky2FAキャンペーンが確認された。二次的な推計によると、これらのキャンペーンは数万件の企業メールボックスに到達したとされる。こうしたマルチホップのチェーンが成功する理由は、多くのセキュリティフィルターがリダイレクトシーケンスの最初または最後のドメインのみを検査し、その間のすべてのホップを追跡できていないためである。
改ざんされた、あるいは不審な書き換えられたURLを見分ける方法
エンドユーザーは、リンクをクリックする前に、そのリンクが改ざんされていないかを評価するための、シンプルで実用的な指針を必要としています。以下の簡易チェックリストをご利用ください：
- 住所の全文を確認する：リンクをクリックする前に、カーソルをリンクの上に合わせ、住所の全文を表示させてください。不審なリンクを安全に確認したい場合は、フィッシングリンクチェッカーを使って確認してください。
- 過度なネストに注意：複数のウェブアドレスが含まれているリンクや、url=、redirect=、target= などの URL パラメータが繰り返し使用されているリンクには注意してください。
- 確認を求めるメッセージには疑いの目を向けてください。「リンクが確認された」あるいは「ブロックされた」と主張し、手動での確認クリックを要求するメッセージは、よくある手口です。
- ラッパードメインの制限を認識する：safelinks.protection.outlook.com のようなベンダードメインが表示されたリンクは、そのメッセージがメールセキュリティゲートウェイを通過したことを示していますが、宛先が安全であることを保証するものではありません。
不審なメッセージの評価に関するより基本的な指針については、「フィッシングリンクとは何か」というガイドをご覧ください。
URL操作攻撃の手口に対する防御策
多層的なリンク操作から企業ネットワークを守るには、リンク検査の最新情報と、強固な身元保護および電子メール認証基準を組み合わせる必要があります。
- リダイレクトの全経路を検査する：リンクチェーン内のすべてのリダイレクトを追跡できるよう、メールゲートウェイおよびエンドポイントセキュリティツールを設定します。セキュリティスキャナーは、最初の信頼できるドメインで検査を終了するのではなく、最終的なランディングページを評価する必要があります。
- ラッパードメインに対する暗黙の信頼を解除する：自社のメールセキュリティベンダーによるドメインラッパーが適用されている場合でも、内部のセキュリティフィルターがリンクを再スキャンするようにします。
- フィッシング対策認証を導入する：Tycoon2FAのような高度なフィッシングキットは、ログイン中にセッショントークンを傍受します。FIDO2ハードウェアキー、パスキー、または番号一致認証を導入し、MFA疲れやセッションハイジャックを軽減することで、組織を保護しましょう。
- セキュリティ意識向上研修の更新：リンクが埋め込まれていても、それが自動的に安全であるとは限らないことを従業員に周知徹底する。マルチホップリダイレクトや予期せぬ認証情報の入力を求められた場合は、直ちに報告するよう従業員を指導する。
- 厳格なメール認証を実施する：組織内のすべてのドメインに対して、Sender Policy Framework（SPF）、DomainKeys Identified Mail（DKIM）、およびDMARCを導入します。DMARCだけではサードパーティによるリダイレクトの手法を阻止することはできませんが、p=rejectポリシーを適用することで、攻撃者が組織のドメイン名を正確に偽装して初期のフィッシングメールを送信することを防ぐことができます。専用のDMARCアナライザーを使用して送信元を監視し、安全に厳格な整合性を確保してください。
結論
防御的なURL書き換えは、クリック時の脅威を検知するための重要な手段であり続けていますが、攻撃者はこの保護層を偽装手段として利用する方法を習得しています。複数のセキュリティベンダーのリンクを連結させることで、最新の「Adversary-in-the-Middle」型攻撃キャンペーンは基本的なフィルタを迂回し、ユーザーを騙してアクセス権を明け渡させています。
組織を保護するには、多層的なセキュリティ対策が必要です。リダイレクトパスを徹底的に検査し、フィッシング対策機能を備えた認証を導入するとともに、PowerDMARCの「DMARC Analyzer」などの自動化ツールを活用して、なりすましドメインによる配信経路を遮断することで、受信トレイへの配信環境の安全性を確保してください。
よくあるご質問
URLの操作とURLの書き換えにはどのような違いがありますか？
URL操作とは、欺瞞的な目的でリンクを変更または偽装することを総称する用語です。URL書き換えとは、メールセキュリティツールが受信リンクをベンダーのドメイン内に包み込み、ユーザーがリンク先のページに到達する前に、クリック時のリアルタイム検査を可能にする具体的な処理のことです。
Microsoft Safe Links は、クリックしても安全ですか？
Microsoft Safe Links は強力なリアルタイム保護機能を提供しますが、ラップされたリンクが不正利用に対して完全に無敵というわけではありません。攻撃者はアカウントを乗っ取ったり、複数のベンダーをまたぐリダイレクトチェーンを構築して、Safe Links を悪意のある宛先へ誘導したりする可能性があるため、ユーザーは依然として不審なメッセージを注意深く確認する必要があります。
攻撃者はフィッシング攻撃において、URL書き換えをどのように悪用するのでしょうか？
攻撃者は、セキュリティベンダーによって保護されている乗っ取られたアカウントを通じてリンクを送信し、ラッピングされた信頼性の高いURLを生成します。また、複数のベンダーのリライトリンクを順番に連結することで、自動スキャナーを混乱させ、その背後にある悪意のあるランディングページを検知できないようにします。
プニーコード（同形異義語）フィッシングとは何ですか？
プニーコードを用いたフィッシングでは、ドメイン名に、標準的なラテン文字と見た目が全く同じである外国語の文字が使用されます。攻撃者は、こうした見た目が同じWebアドレスを登録し、ユーザーに正当な企業のWebサイトにアクセスしていると錯覚させます。
DMARCはURL改ざん攻撃を防ぐことができるか？
DMARCは、リダイレクトリンクを直接検査したり変更したりすることはありません。ただし、p=rejectポリシーでDMARCを適用することで、攻撃者が最初のフィッシングメールを送信するために貴社のドメインを正確に偽装することを防ぎ、主要なブランドなりすまし手口を封じることができます。
「Tycoon2FA」と「Sneaky2FA」とは何ですか？
Tycoon2FA と Sneaky2FA は、高度な「中間者攻撃型」フィッシングキットです。これらはユーザーの認証情報やライブセッショントークンをリアルタイムで傍受し、攻撃者がセキュアなプラットフォーム上であっても、標準的な多要素認証の制御を迂回することを可能にします。
ドメインおよびメールセキュリティの専門家（所属： PowerDMARC
AhonaはPowerDMARCのマーケティングマネージャーで、サイバーセキュリティのトピックについて5年以上の執筆経験があり、ドメインと電子メールのセキュリティを専門としている。ジャーナリズムとコミュニケーションの卒業後学位を取得し、2019年からセキュリティ分野でキャリアを固めている。
最新記事 by Ahona Rudra(全て見る)
- URL操作（URLリライティング）とは？ 攻撃者がフィッシングを隠すために信頼できるリンクを乗っ取る仕組み - 2026年8月10日
- Microsoft アカウントのセキュリティ警告メール：詐欺を見抜き、ドメインを守る方法 - 2026年8月9日
- ファーミングとは？その仕組みと、組織がリスクを軽減する方法 - 2026年8月8日
