タイポスクワッティング【typosquatting】

概要

タイポスクワッティングとは、有名企業や人気のWebサイトなどのドメイン名とよく似たドメインを取得し、打ち間違い（タイプミス）した訪問者を誘導する行為。フィッシング詐欺やマルウェア配布の手口として広く悪用されている。

目
次

解説
ドメイン名の類型
対策

「タイポ」（typo）とは “typographical error” の略で、綴り間違い（スペルミス）を意味する俗語である。「スクワッティング」（squatting）は「不法占拠」を意味し、他者の商標やブランドなどに便乗したドメインを不正に取得する行為全般を指す。タイポスクワッティングはその中でも、入力ミスを利用する手法に特化した概念である。

悪用の目的は取得者によって異なる。典型的な事例として、広告を大量に貼り付けた低品質なページへの誘導による広告収益の獲得、本物のサイトを模倣した偽サイトによるフィッシング詐欺、マルウェアの配布、偽のサポート窓口を装ったサポート詐欺などがある。特に、金融機関やECサイトを模倣したフィッシングサイトへの誘導は、認証情報や決済情報の詐取につながるため被害が深刻になりやすい。

ドメイン名だけでなく、ソフトウェアのパッケージ管理においても類似の問題が発生しており、「タイポスクワッティング攻撃」として、npmやPyPIなどのパッケージリポジトリで人気パッケージに酷似した名前の悪意あるパッケージが公開される事例が報告されている。

ドメイン名の類型

取得されるドメイン名は、本来の綴りのうち1文字だけキーボード上のキーの位置や発音・字形が近い文字に置き換えたような綴り、すなわち「microsoft.com」→「microdoft.com」や「yahoo.com」→「yafoo.com」が多い。繰り返し出現する文字の数が違う「google.com」→「gooogle.com」などのパターンもある。

他にも、複数形と単数形の違いや、ハイフンの有無（ you-tube.com など）、ドットの位置の操作（ www-google.com など）、トップレベルドメインの差し替え（.jp を .com や .net に変更）といったパターンも確認されている。文字の見た目が似ていることを利用し、アルファベットの「l」（小文字エル）と数字の「1」（いち）、「O」（大文字オー）と「0」（ゼロ）を入れ替える手法も存在する。これらは訪問者がURLを入力ミスしたり、うろ覚えで入力したりすることを当て込んでいる。

対策

本家ドメインの所有者はタイポ文字列については商標権などを所有していない場合が多い。入力間違いには無数の可能性が考えられるため、網羅的に似たドメイン名を登録したり、商標登録などで権利保護することは現実的でないことが多い。本物のドメインが非常に有名でタイポ誘導による被害が大きい場合には、インターネットの国際調整機関であるICANNの統一ドメイン名紛争処理方針（UDRP）を通じた申し立てによる移転請求や、訴訟などで差し止めが認められる場合もある。

現実的な対策として、商標ドメインの取得時に最もありそうないくつかのタイポドメインを同時に取得したり、スクワッティングしている相手からドメインを購入したり、単に無視したりといった対処法が用いられることがある。利用者側の対策としては、ブックマークの活用や、検索エンジンにサービス名を入力して公式サイトを訪れるなど、ブラウザのアドレスバーにドメイン名を直接入力しない方法を用いるのが基本となる。