Webサイト、メール、アカウントが攻撃者の指定する場所へリダイレクトされる
ドメイン名がハイジャックされる原因は、ログイン情報の盗難とは限らない
レジストラロックや、アカウントのセキュリティ強化でリスクを軽減できる
サービスへの影響を最小限に抑え、ドメインを回復するには迅速な対応が不可欠
ドメインハイジャック（ドメイン名ハイジャック）とは、第三者が正規のドメイン名を不正に乗っ取るサイバー攻撃です。攻撃者は、ドメインを管理するレジストラアカウントに不正アクセスしたり、ドメインを別のアカウントに移管したり、DNS（ドメインネームシステム）の設定を変更して乗っ取ります。ハイジャックされると、訪問者が偽のサイトに誘導されたり、メールが利用できなくなったり、ドメインに紐付いたサービスが攻撃者にコントロールされる恐れがあります。
ドメインは単にWebサイトのアドレス（URL）というわけではありません。企業では、メールアドレス、顧客アカウント、オンライン決済、クラウドツール、パスワードのリセットなどにもドメインが使用されています。ドメインハイジャックが発生すると、複数のオンラインサービスが停止したり、攻撃者にサイトを不正操作される恐れがあります。攻撃の対象となるのはMac本体ではなく、ドメインの管理に使用されるレジストラアカウントであるため、サイト運営しているMacユーザーや小規模事業主もドメインハイジャックの標的となる可能性があります。
ドメインハイジャックの手口は様々ですが、攻撃の流れはパターン化しており、レジストラ、ホスティング、DNS、または管理アカウントを乗っ取って、その後、不正な変更を加えることが一般的です。
01
攻撃者が、ドメインに接続されているレジストラ、ホスティングプロバイダ、DNSサービス、管理者、またはメールアカウントを特定します。
02
攻撃者は、フィッシング、マルウェア、パスワードの使い回し、などの詐欺の手口でアカウントのパスワードを盗み出します。また、有効なログインセッションを乗っ取ったり、パスワードを忘れた際の「リセット機能」を悪用したりすることもあります。
03
攻撃者はドメインの所有権を奪取・維持するため、ドメインの連絡先情報、DNSレコード、ネームサーバー、移管設定、アカウント復旧情報などを書き換えます。
04
攻撃者は、サイトの訪問者を偽のフィッシングページに誘導したり、そのドメイン宛てのメールを攻撃者のサーバーへリダイレクト、傍受、または遮断する可能性があります。
05
乗っ取られたドメインは、フィッシング、マルウェア、決済詐欺、データ窃取、なりすましなどに悪用される恐れがあります。また、ドメインを返還する条件として、多額の身代金を要求してくることもあります。
ドメインハイジャックは、DNS設定を不正に書き換えたり、サブドメインを乗っ取ることがあります。攻撃者がサイト訪問者を危険なページへリダイレクトして、ログイン情報の窃取、マルウェアの拡散、企業の信用毀損が発生した事例をいくつかご紹介します。
「Sea Turtle」と呼ばれるハッカー集団が、ドメイン登録業者、DNSプロバイダー、その他の組織を侵害したことをCisco Talosが報告しました。ハッカー集団はDNSレコードを書き換えて、訪問者を自身が制御するサーバーへ誘導してログイン情報を盗み出しました。Ciscoは、政府機関、通信会社、インターネットサービスプロバイダーなど、13カ国にわたり40社以上の企業が被害を受けたと伝えています。
ブラジルの銀行が所有する全36のドメインのDNS設定が変更されるという深刻なドメインハイジャックが発生しました。サイトを訪問した銀行の顧客は、本物そっくりの偽サイトにリダイレクトされ、ログイン情報が盗まれたり、マルウェアに感染するなどという事態が報告されました。銀行は約5〜6時間後にドメインを回復することができましたが、サービス利用者に多大な被害が及びました。
Infobloxの研究者らは、「Hazy Hawk（ヘイジー・ホーク）」と呼ばれる脅威アクターが、Bose、パナソニック、アメリカ疾病予防管理センター（CDC）などの組織に属する外部クラウドサービスで放置状態のDNS設定を悪用して、サブドメインを乗っ取っていたことを発見しました。Hazy Hawkは、これら大手のサブドメインを悪用して、サイト訪問者を詐欺サイトやマルウェアへリダイレクトしていました。但し、各組織のメインドメインは乗っ取られていません。
ドメインハイジャックは、Webサイト、電子メール、その他のオンラインサービスに被害を及ぼす危険なサイバー攻撃です。ドメインを取り戻した後も、長期にわたって被害や影響が続くケースも多々あります。
訪問者は、本物のWebサイトではなく、攻撃者が作成した偽のページ、ログイン画面、悪意のあるコンテンツ、または警告メッセージにリダイレクトされます。
攻撃者がドメインのメール設定を変更し、受信メールを外部へ転送させることがあります。これにより、パスワード再設定リンクの悪用、顧客からのメールの傍受、企業の機密情報の漏洩が発生する恐れがあります。
攻撃者が企業のドメインの乗っ取りに成功すると、顧客を本物そっくりの偽のページへリダイレクトし、パスワード、支払い情報、個人情報、ダウンロードデータを窃取する恐れがあります。
顧客は企業への信頼を失い、検索順位の急降下、メールの受信率の低下、事業運営トラブル、取引先との関係悪化など、深刻な悪影響を及ぼす恐れがあります。
どのドメインもドメインハイジャックの標的になる可能性はありますが、特に多くの顧客、決済情報、受信メール、または収益性の高いオンラインサービスを保有するドメインが、攻撃されやすい傾向にあります。
小規模事業は、一人の担当者がアカウント管理または数名で一つのアカウントを共有、高度なロック機能や監視機能が付属していないレジストラのベーシックプランの利用、復旧手順の未整備、などといったセキュリティリスクを抱えているケースがあります。
攻撃者はストアのドメインを乗っ取って、顧客を偽の決済ページにリダイレクトし、アカウントのパスワード、決済情報、その他の機密データを盗み出す恐れがあります。
政府機関、金融サービス、慈善団体、メディア企業、著名ブランドなどは、顧客への広範なリーチ力と信頼性が非常に高いため、ドメインハイジャックの格好の標的です。
価値の高いドメインを複数保有しているドメイン投資家は、標的型フィッシング、不正な移管要求、アカウントの乗っ取り、あるいは所有権や商標をめぐる紛争に巻き込まれる可能性があります。
推奨されるドメインハイジャック対策としては、レジストラや管理者アカウントのセキュリティ対策、DNSの厳重な管理体制、そして復旧計画の事前準備を万全に行っておく必要があります。
Intego ONEは、ドメインをロックしたり、レジストラの不正アクセスを阻止するツールではありませんが、ドメイン、DNS、ホスティング、または企業メールアカウントにアクセスするMac端末のセキュリティ対策として役立ちます。
Intego ONE Antivirusは、データ窃取、アクティビティの監視、ファイルへの不正アクセスなどを試みる既知のMacマルウェアを検出して隔離することができます。
リアルタイムスキャンと任意のタイミングで実行できる手動スキャンで、フィッシングメール、偽装されたページ、侵害されたWebサイトからダウンロードされた悪意のあるファイルなどを検出できます。
Intego ONEのスマートファイアウォールは、インターネットへの接続を試行するアプリを検出します。望ましくない通信接続を素早くブロックすることができます。
Intego ONEのCompleteプランには、Mac端末とVPNサーバー間の通信を暗号化するVPN機能が搭載されています。共有ネットワークなどでドメインにアクセスする際のオンラインデータ対策として役立ちます。
25年以上に渡って革新を続けるIntegoは、データ、プライバシー、デバイスといった最も重要な資産を守るために構築された高度なサイバーセキュリティソリューションを提供してきました。
受賞歴のあるウイルス対策、ファイアウォール、VPN、システム最適化ツールを搭載し、MacおよびPCユーザーが求めるシンプルさと信頼性を備えた強力な保護を実現します。
