ドメインが失効するという大事件

　冒頭に紹介した2つの事件は、ともに「ドメインの失効」が関係しているものでした。リーフレットの二次元バーコードには、2018年に東京都健康安全研究センターが印刷したプリントに、かつて管理していたドメインを使ったURLを、QRコードにして印刷していました。ところがそのドメインを失効させてしまい、第三者がそのドメインを取得しWebサイトを立ち上げた結果、全く関係のないページが表示されるようになったのです。

　そしてもっと問題だったのはNTTコム オンライン・マーケティング・ソリューションの事例で、アクセス解析のためにサービスを利用する多数のWebサイトに「スクリプト」を埋め込んでいるのですが、そのスクリプトが参照されるドメインが失効、そして第三者が取得したことが判明したことが原因です。

　多くの場合、こういった失効ドメインを淡々と狙う業者も存在しており、失効したドメインを取り返すことは容易ではありません。URLが一致しなかったとしても、サーバの設定で特定のページを表示させることも可能ですので、ありとあらゆるファイルへのアクセスが、場合によっては業務時間では望ましくないような内容に変わっている場合もあるわけです。さらにスクリプトが参照されるような状況にあれば、スクリプトが残っているWebサイトが全てマルウェア配布サイトになる可能性もあるわけです。そのため、これら注意喚起は想像以上に大きな事件であると認識してよいでしょう。

　そしてもう一つ、ドメイン運用をやめて起こり得ることは「メールを奪われるリスク」です。ドメインの所有権を奪われた場合、第三者はメールサーバを立て、そのドメインにやってくるメールを全てキャッチすることができます。もし企業が独自ドメインのメールを使い、GmailやMicrosoft 365など、メールを利用可能なクラウドサービスを使っていたとしましょう。ドメインの所有権を奪われれば、例えば各種サービスの「パスワードリセットメール」も全て見ることができてしまいます。SaaS、PaaSなどの管理も奪われてしまえば、もしかしたら企業資産の全ても、ドメインの管理不備がきっかけで奪われるかもしれないのです。

中小規模の企業も他人事ではない

　独自ドメインの管理をやめる理由はさまざまあると思います。イベントのために取得し、すぐに使わなくなるパターンや、企業買収やブランド吸収によってドメインが無用になることもあるでしょう。しかし、ドメインとしての管理はそこで終わりではなく、一度使ったら永続的に運用し続けるべきものだと筆者は考えています。その意味で、ドメインの“終活”とは、ドメインを維持し続けることであり、もしそのドメインの利用意図がなくなったとしても、契約上ドメインを維持し続けた、買収先の企業にもそれを明示的に守らせるような仕組みを取らざるを得ません。

　一時期は個人でも、独自ドメインを使って自分だけのメールアドレスを作ることが流行ったこともありました（筆者も運用しています）。が、これを辞めるというのは非常に面倒くさく、特にメールを運用していた場合は誰かにドメインを奪われるリスクは許容できるものではなく、ある程度の期間は確実に保持しなければならないものであるはずです。

　企業においても、もはや短期間のみ運用するようなドメインを取得しては破棄するような運用は絶対に避けるべきでしょう。これも2000年代などでは映画のプロモーションなどで多用されましたが、そのほとんどがいまや見る影もなくスパムサイトやポルノサイトへ変わってしまっています。それは自社製品のブランドを毀損（きそん）することにつながりますので、一時的なプロモーションでも、自社がメインで管理するドメインで行うべきです。

　いまや、ドメインを買うのも非常に安価になりました。小さな組織でも手が出せるため、作り上げた製品ごとにブランドとしてドメインを取得したい、という気持ちも分かります。しかし、それらの“運用”の今後も考えていく必要があるでしょう。個人的には、企業名の入ったドメインこそが大きなブランドであり、企業を代表する1つのドメインの配下に全てのブランドを集め、メインのドメイン名を育てていくことが、運用を考えたら一番よい方法だと思っています。

⇒ 新着ホワイトペーパーをチェックする

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門「木曜日のフルット」と学ぼう！＜漫画キャラで学ぶ大人のビジネス教養シリーズ＞』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる本です。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さんに覚えていただけるようなコラムにしたいと思います。お楽しみに！