Typosquatting
メールマーケティングと配信率をマスターするために必要なすべての用語を、分かりやすく解説します。
スパムとブラックリスト
定義
Typosquatting（タイポスクワッティング）は、悪意のある攻撃者がユーザーの入力ミスを悪用し、正規のウェブサイトに酷似したドメイン名を登録するサイバー攻撃手法です。これらの類似ドメインは、認証情報の窃取、マルウェアの配布、機密通信の傍受などに使用されます。URLハイジャッキングとも呼ばれ、メールやウェブセキュリティにおいて企業と消費者の両方に重大なリスクをもたらします。
一般的な使用例
認証情報の収集：タイポスクワットドメイン上の偽のログインページがユーザーのサインイン時にユーザー名とパスワードを取得します
決済詐欺：攻撃者はクレジットカード情報や財務データを盗むために類似の決済ページを作成します
メールの傍受：機密情報を含む誤送信メールが、タイポスクワットドメインを管理する攻撃者に取得されます
マルウェア配布：タイポスクワットドメインからソフトウェアをダウンロードしたユーザーが知らずに悪意のあるプログラムをインストールします
ビジネスメール詐欺：攻撃者はタイポスクワットドメインを使用して経営者になりすまし、不正な送金を要求します
ブランドなりすましキャンペーン：タイポスクワットドメインから送信される大量のフィッシングメールがブランド評価を損ない、顧客を欺きます
サプライチェーン攻撃：タイポスクワットドメインがソフトウェアリポジトリに偽造パッケージをホストし、開発者のシステムを侵害します
広告詐欺：タイポスクワットドメインが正規の広告キャンペーンから有料トラフィックを競合他社や詐欺サイトに転用します
Typosquatting が重要な理由
Typosquatting はメールの到達率と送信者評価に直接的な脅威をもたらします。攻撃者がドメインになりすます場合、受信者は不正なメールとの混同により正規のメールをスパムとしてマークする可能性があります。また、タイポスクワットされたバージョンがフィッシングやマルウェア配布に関連付けられている場合、メールサービスプロバイダーも正規のドメインを疑わしいものとしてフラグを立てる可能性があります。このドメイン評価へのダメージは修復に数ヶ月かかり、マーケティングキャンペーンのパフォーマンスに大きな影響を与えます。 企業にとって、ブランド保護への影響は深刻です。Typosquatting 詐欺の被害に遭った顧客は正規の会社を責めることが多く、信頼の喪失や潜在的な法的責任につながります。調査によると、大企業は平均して300以上のタイポスクワットされたドメインの標的となっています。財務的な影響には、トラフィックの転用による直接的な損失、詐欺被害者へのカスタマーサポートコスト、セキュリティ上の失敗と認識された場合の規制上の罰則の可能性が含まれます。 コンプライアンスの観点から、Typosquatting はデータ保護規制と交差します。あなたのビジネスを装ったタイポスクワットドメインを通じて顧客データが侵害された場合、GDPR、CCPA、または業界固有の規制の下で精査を受ける可能性があります。Typosquatting に対する積極的な監視と保護は、顧客情報の保護とメールセキュリティ基準の維持において適切な注意を払っていることを示します。
Typosquatting の仕組み
Typosquatting は、人間の入力ミスの予測可能性を悪用します。攻撃者は人気のあるドメイン名を分析し、よくあるミスを捕捉できるバリエーションを登録します。これには隣接キーの誤入力（google.com の代わりに gogle.com）、文字の欠落（amazn.com）、文字の重複（googgle.com）、間違ったドメイン拡張子（.com の代わりに .co）、文字の転置（mircosoft.com）などが含まれます。一度登録されると、これらのドメインは正規のウェブサイトの説得力のある複製をホストできます。 攻撃インフラには通常、ターゲットブランドの外観を模倣したクローンウェブサイトが含まれます。ユーザーが誤ってこれらの偽サイトにアクセスすると、知らないうちにログイン認証情報、支払い情報、個人データを入力してしまう可能性があります。メールベースの Typosquatting では、攻撃者は類似ドメイン上にメールサーバーを設置し、信頼できる送信元からのように見えるフィッシングメールを送信したり、機密情報を含む誤送信メールを傍受したりします。 高度な Typosquatting キャンペーンは複数の手法を組み合わせます。攻撃者は国際化ドメイン名（IDN ホモグラフ攻撃）を使用することがあり、異なるアルファベットの文字が同一に見える特性を利用します。例えば、ラテン文字の「a」の代わりにキリル文字の「а」を使用するなどです。また、サブドメインのトリック（secure-paypal.attacker.com）を利用したり、Typosquatting と検索エンジン最適化を組み合わせて不正サイトを検索結果に表示させたりします。
ベストプラクティス
.co、.net、国別拡張子など異なる TLD を含め、ドメインの一般的なスペルミスやバリエーションを事前に登録します
DMARC、SPF、DKIM 認証を実装し、メールキャンペーンで攻撃者が正規ドメインをなりすますことを防ぎます
ドメイン監視サービスを使用して、類似した新規ドメインが登録された際にアラートを受け取ります
Typosquatting のリスクと正規の通信を確認する方法について、従業員と顧客に教育します
ブラウザセキュリティ拡張機能と DNS フィルタリングを設定し、組織全体で既知のタイポスクワットドメインをブロックします
UDRP（統一ドメイン名紛争処理方針）に基づき、侵害ドメインに対する削除申請をレジストラに提出します
メール署名やマーケティング資料に公式ドメインを記載し、受信者が真正性を確認できるようにします
送信前にメールアドレスを検証し、侵害されたデータソースを示す可能性があるタイポスクワットドメインを連絡先リストから検出します
よくある質問
Typosquatting とフィッシングの違いは何ですか？
Typosquatting はフィッシング攻撃を可能にする特定の手法ですが、フィッシング自体とは異なります。Typosquatting は欺瞞的なドメイン名の登録に焦点を当てているのに対し、フィッシングはユーザーを騙して機密情報を明かさせるあらゆる試みを包含します。フィッシングは、ドメイン詐欺なしに正規のドメイン、侵害されたアカウント、またはソーシャルエンジニアリングを通じて発生する可能性があります。Typosquatting は攻撃者にインフラ（偽のドメイン）を提供し、フィッシングメールやウェブサイトをより説得力のあるものにします。
Typosquatting はメールの到達率に影響しますか？
はい、Typosquatting はメールの到達率に大きな影響を与える可能性があります。タイポスクワットドメインがあなたのブランドを装ったスパムやフィッシングメールを送信すると、メールプロバイダーは類似のドメインに否定的なシグナルを関連付ける可能性があります。不正なメールを受け取った受信者も、あなたの正規のメールをスパムとしてマークする可能性が高くなります。強力なメール認証（DMARC、SPF、DKIM）を実装することで、受信サーバーがあなたの本物のメールとなりすましを区別できるようになり、送信者評価を保護できます。
タイポスクワッターに対する法的選択肢は何がありますか？
いくつかの法的救済手段が利用可能です。UDRP（統一ドメイン名紛争処理方針）により、商標権者は ICANN 認定の紛争解決プロバイダーに苦情を申し立て、侵害ドメインを取り戻すことができます。米国のサイバースクワッティング消費者保護法（ACPA）は、悪意ある登録に対してドメインあたり最大10万ドルの法定損害賠償を規定しています。多くの国別コード TLD には独自の紛争解決ポリシーがあります。緊急の場合、裁判所が発行する仮差止命令により、即時のドメイン削除を強制できます。
自分のドメインがタイポスクワットされているかどうかを検出するにはどうすればよいですか？
複数の検出方法があります。ドメイン監視サービスは、類似した新規登録ドメインを自動的にスキャンしてアラートを送信します。また、dnstwist や URLCrazy などのツールを使用して、考えられる Typosquatting のバリエーションを生成し、その登録状況を確認することもできます。ソーシャルメディアやサポートチケットでブランドへの言及を監視し、不審な通信の報告を確認します。メール認証レポート（DMARC 集計レポート）を確認して、類似ドメインを使用する不正な送信者を特定します。ブランドの一般的なスペルミスに対して設定された Google アラートも、検索結果に表示される Typosquatting の試みを検出できます。
関連用語
関連記事
メール検証の準備はできましたか？
BillionVerify を今すぐ使用して、99.9% の精度でメールを検証しましょう。
クレジットカード不要 · 毎日 100 回以上の無料検証 · 5 分で設定完了