Brain Security · Cybersecurity and AI awareness

Catalog

← 記事一覧へ戻る
標的型攻撃・フィッシング

タイポスクワッティングとホモグラフ攻撃:従業員がURLの偽装を見抜く実践的セキュリティ教育

タイポスクワッティングやホモグラフ攻撃など、巧妙化するフィッシングURLの見分け方を解説。情シスやCISO向けに従業員の不審サイト検知能力を高める教育手法と実践的な対策を紹介します。

✓ Brain Security · サイバー&ヒューマンリスク研究開発部門 ⚖ IPA · 経済産業省(METI) · 個人情報保護法(APPI) · JPCERT/CC · ISO 27001 ★ Cyber Cup

企業のセキュリティ監視センター(SOC)やCSIRTでは、毎週のように同じ光景が繰り返されています。多忙を極める従業員のもとに、情報システム部門を装った緊急通知メールが届きます。慌ててリンクをクリックし、IDとパスワードを入力して多要素認証(MFA)の承認まで完了してしまうケースです。一見すると、社内ポータルやMicrosoft 365のログイン画面そのものでした。しかし実際には、ドメイン名に肉眼では判別しがたいわずかな細工が施されており、日常のささいなクリックが重大なインシデントへと発展したのです。

CISOやセキュリティ責任者にとって、メールゲートウェイやスパムフィルタによる技術的防御だけで防ぎきることは困難になりつつあります。標準的な迷惑メールは機械的に排除できても、攻撃者は人間の認知バイアスを突く偽装ドメインの取得に多額の投資を行っています。この脅威に対抗するための根本的なアプローチは、すべての従業員がリンクをクリックする前にURLの構造を正しく読み解ける「リテラシー」を身につけることです。


タイポスクワッティングやホモグラフ攻撃による偽ドメインをどのように見抜くか?#

要点まとめ:偽装ドメインを見抜くには、最初のスラッシュ(/)の直前にあるルートドメインに注目します。「m」を「rn」に置き換える視覚的類似や、キリル文字などを悪用した国際化ドメイン名(IDN)のホモグラフ攻撃を警戒し、ブラウザのアドレスバーに表示される「xn--」で始まるPunycode(ピュニコード)表記を確認することが極めて有効です。

ドメイン名の偽装攻撃は、人間の脳が無意識に行う「視覚的な省略処理」を悪用します。見慣れた単語を素早く読む際、人は一文字ずつ精読せず、単語全体の輪郭で認識する傾向があります。サイバー犯罪者はこの認知的隙を突き、主に以下の手口を展開します。

  • 古典的なタイポスクワッティング(Typosquatting): キーボードの打ち間違いや文字の脱落、隣接キーの誤入力を狙う手法です。近年特に危険なのが、視覚的に酷似した文字の組み合わせです。たとえば「microsoft.com」の「m」を「r」と「n」の連続「rn」に置き換えた「rnicrosoft.com」などは、PCの解像度やスマートフォンの小さな画面ではほぼ判別がつきません。
  • ホモグラフ攻撃(IDNホモグラフ攻撃): 多言語対応の国際化ドメイン名(IDN)を悪用し、ラテン文字(半角英字)と全く同じ形をしたキリル文字やギリシャ文字を混入させる手法です。キリル文字の「а」(U+0430)はラテン文字の「a」(U+0061)と視覚的に完全に一致しますが、Webサーバーから見れば全く異なる接続先となります。
  • Punycode(ピュニコード)表示の確認: 非ラテン文字を含むドメイン名にアクセスすると、現代のWebブラウザは安全確認のために「xn--」から始まるPunycode形式に自動変換してアドレスバーに表示します。従業員に「URLに xn-- が現れたらホモグラフ攻撃を疑う」という判断軸を教え込むことは、即効性のある防御策となります。

OPERATIONAL DECISION TREE · タイポスクワッティングとホモグラフ攻撃:従業員がURLの偽装を見抜く実践的セキュリティ教育 IPA · 経済産業省(METI) · 個人情報保護法(APPI) · JPCERT/CC · ISO 27001
運用アーキテクチャ:タイポスクワッティングとホモグラフ攻撃:従業員がURLの偽装を見抜く実践的セキュリティ教育(Cyber Cup · Brain Security) Cyber Cup · PHISHING A · タイポスクワッティングやホモグラフ攻撃による偽ドメイ… B · タイポスクワッティングやホモグラフ攻撃による偽ドメイ… 01
古典的なタイポスクワッティング(Typosquatting)
02
最初の「/」を探す
03
ホモグラフ攻撃(IDNホモグラフ攻撃)
04
スラッシュの左直前を読む
運用アーキテクチャ:タイポスクワッティングとホモグラフ攻撃:従業員がURLの偽装を見抜く実践的セキュリティ教育(Cyber Cup · Brain Security)

なぜサブドメインの階層トラップに騙されてしまうのか?#

要点まとめ:攻撃者は「login.microsoft.com」のような正規に見える文字列をサブドメインとして重ね、悪意あるルートドメインの直前に配置します。URLの「https://」の後に現れる最初のスラッシュから左側へ辿り、末尾のトップレベルドメインと直前の文字列(真のドメイン)を確認するルールを徹底する必要があります。

もう一つの代表的な手法が、サブドメイン構造の悪用です。攻撃者は「secure-portal-auth.jp」といった無害を装った独自ドメインを取得し、その配下に標的組織や大手クラウドサービスに似せたサブドメインを幾重にも設定します。

画面上には以下のようなURLが表示されます:

https://login.microsoft.com.secure-portal-auth.jp/auth

一般的な従業員は左から右へ文字を追うため、先頭の「login.microsoft.com」だけを見て正規の認証サイトだと誤認してしまいます。この罠を無効化するため、社内教育で以下の3ステップを周知することが不可欠です。

  • 最初の「/」を探す: 「https://」以降で、最初に現れる単一のスラッシュ(/)を見つけます。
  • スラッシュの左直前を読む: そのスラッシュのすぐ左側にある「ドメイン名+TLD(.comや.jpなど)」が、通信先を支配している真の組織です。
  • ドメイン保有者を特定する: それより左側にどれほど信頼できる単語が並んでいても、すべてルートドメイン保有者が自由に名付けたサブドメインに過ぎません。上記の例では、アクセス先はMicrosoft社ではなく「secure-portal-auth.jp」の管理下にあるサーバーです。

Executive Synthesis of Guide Pillars: タイポスクワッティングとホモグラフ攻撃:従業員がURLの偽装を見抜く実践的セキュリティ教育
Strategic DimensionDetailed CISO Recommendation
古典的なタイポスクワッティング(Typosquatting) キーボードの打ち間違いや文字の脱落、隣接キーの誤入力を狙う手法です。近年特に危険なのが、視覚的に酷似した文字の組み合わせです。たとえば「microsoft.com」の「m」を「r」と「n」の連続「rn」に置き換えた「rnicrosoft.com」などは、PCの解像度やスマートフォンの小さな画面ではほ… (タイポスクワッティングやホモグラフ攻撃による偽ドメインをどのように見抜くか?)
最初の「/」を探す 「https://」以降で、最初に現れる単一のスラッシュ(/)を見つけます。 (なぜサブドメインの階層トラップに騙されてしまうのか?)
ホモグラフ攻撃(IDNホモグラフ攻撃) 多言語対応の国際化ドメイン名(IDN)を悪用し、ラテン文字(半角英字)と全く同じ形をしたキリル文字やギリシャ文字を混入させる手法です。キリル文字の「а」(U+0430)はラテン文字の「a」(U+0061)と視覚的に完全に一致しますが、Webサーバーから見れば全く異なる接続先となります。 (タイポスクワッティングやホモグラフ攻撃による偽ドメインをどのように見抜くか?)
スラッシュの左直前を読む そのスラッシュのすぐ左側にある「ドメイン名+TLD(.comや.jpなど)」が、通信先を支配している真の組織です。 (なぜサブドメインの階層トラップに騙されてしまうのか?)

日常業務で定着させるべきセキュアなブラウジング習慣#

座学による知識伝達だけでは、多忙な業務中の誤クリックを防ぐことはできません。現場の負荷を増やさず、安全なアクセスを自動化・習慣化するルール整備が必要です。

業務ブックマーク(お気に入り)アクセスの義務化

タイポスクワッティングの被害を防ぐ最も確実な対策は、メールやチャットで届いたリンクから基幹システムにアクセスしないことです。グループウェア、人事評価システム、経理・ネットバンキング、クラウド管理コンソールなど、重要情報を扱うポータルサイトは、情シスが検証済みの「ブラウザ公式ブックマーク」からの直接アクセス、または確実なURL手入力からのアクセスを運用ルールとして徹底させます。

ゲーミフィケーションを取り入れた実践型トレーニング

URLの真偽判定のような技術的知見を退屈な研修にせず、従業員が能動的に学ぶ環境を作るには、ゲーム要素を取り入れたアプローチが有効です。

短時間で集中して挑戦できるコンテンツとして、アーケードゲーム感覚でセキュリティ知識を競い合えるチーム対戦型クイズ「Cyber Cup」があります。1回3分間のスピーディーなプレイとリアルタイムランキング機能により、怪しいURLの識別テストなどを部署対抗で楽しみながら実施できます。クレジットカード登録不要のセルフサービス形式(5名まで無料アクセス可能)で手軽に体験できるため、現場のセキュリティ意識の底上げに最適です。


BRAIN SECURITY プロダクト実践画面 · Cyber Cup
「タイポスクワッティングとホモグラフ攻撃:従業員がURLの偽装を見抜く実践的セキュリティ教育」の施策を支える Cyber Cup の実践画面。
「タイポスクワッティングとホモグラフ攻撃:従業員がURLの偽装を見抜く実践的セキュリティ教育」の施策を支える Cyber Cup の実践画面。 Cyber Cup の詳細をカタログで見る →

受動的な警戒心から自律的な防御反射へ#

インフラ取得コストが極めて安価である以上、タイポスクワッティングやホモグラフ攻撃が消滅することはありません。しかし、全従業員がURLの構造を論理的に解読できるようになれば、攻撃者が仕掛ける視覚的トラップの成功率は激減します。

IPAの「情報セキュリティ10大脅威」や経済産業省の「サイバーセキュリティ経営ガイドライン」でも指摘されている通り、技術的対策と従業員のセキュリティ教育を両輪で回すことがサプライチェーン攻撃やランサムウェア侵入を防ぐ要です。FIDO2準拠の耐フィッシングMFAの導入と並行し、体験型コンテンツを通じて組織全体のセキュリティリテラシーを高める取り組みをおすすめします。自社の課題に合わせた実践的な教育プログラムの構築については、ぜひデモ相談窓口へご相談ください。


関連コラムおよびBrain Securityのソリューション#

このテーマに関連するおすすめ記事

Brain Securityの製品・ソリューション一覧