タイポスクワッティングとは？仕組みと基本的な3つの対策法
- タイポスクワッティングって初めて聞いたけど、どんな攻撃なんですか？
- タイポスクワッティング (typo-squatting）とはURLの入力ミスを悪用したサイバー攻撃です。
攻撃者はありがちなユーザーの入力ミスを予想し、正規のURLに似せたURLを取得。
ユーザーが誤ってアクセスするのを待ち構え、詐欺サイトへと誘導します。
「URLを間違えなければ大丈夫でしょ」と思うかも知れませんが、「/」の数が一本多いなどかなり気付きにくい変化です。
この記事ではタイポスクワッティングの仕組みや有名な事例、被害を未然に防ぐための基本対策を3つご紹介します。
1.タイポスクワッティングとは？
タイポスクワッティングはユーザーのURLの入力ミスを狙ったサイバー攻撃で、別名「URLハイジャッキング」とも呼ばれます。
ユーザーがURLを間違って入力しアクセスすると、攻撃者が事前に開設した別のWEBサイトに誘導します。
- タイポスクワッティングを仕掛ける攻撃者の目的は何ですか？
- タイポスクワッティングは主に偽サイトのアクセス数を増やし広告収入を得るのが目的ですが、マルウェアに感染させて個人情報を盗み取る目的もあります。
マルウェアとは
システムの中で有害な動作をする目的で作成された悪意のあるプログラムの総称。
【例】
・ウイルス
・トロイの木馬
・ランサムウェア
・ワーム
・スパイウェア など
タイポスクワッティングによってマルウェアに感染した場合、個人情報漏えいによる金銭的な被害のほか、遠隔操作による情報の改ざん・破壊などの被害に遭う危険性があります。
1-1.タイポスクワッティングの仕組み
タイポスクワッティングの仕組みは正規のWEBサイトのURLを一部変更し、別に用意した偽のサイトにアクセスするよう仕向ける単純なものです。
例えば正規のWEBサイトのURLが「https://cyber-attack.co.jp」だった場合、攻撃者はユーザーのありがちな入力ミスを予想し以下のようなURLで偽のサイトを開設します。
- トップレベルドメインの変更：https://cyber-attack.com
- ありがちな入力ミス：https://cybar-attack.co.jp
- タイピングミス：https://cybber-attack.co.jp
- 文字列の変更：https://cyberattack.co.jp（「-」を削除）
通常間違ったURLでアクセスすると「ページが見つかりません」などのエラーが表示されます。
攻撃者はこのようなユーザーの入力ミスを利用し偽サイトへと誘導するのです。
- タイポスクワッティングって入力ミスを悪用するだけなんですね。
- 海外ではインドの子供向けサイト「indianchild.com」のたった１文字「a」が抜けただけで、アダルトサイトが表示される悪質なタイポスクワッティングサイトもあるんですよ。
2.タイポスクワッティングの有名な事例
タイポスクワッティングサイトは知名度の高いWEBサイトのほとんどに存在し、さまざまな弊害をもたらします。
ここでは実際にタイポスクワッティングが確認された有名な事例を２例ご紹介します。
2-1.アメリカ大統領のWEBサイト
アメリカ合衆国大統領のWEBサイト「www.whitehouse.gov」もタイポスクワッティングの恰好の餌食となっています。
このサイトの有名なタイポスワッティングサイトは以下の2つです。
- hitehouse.com：フォーラムサイト（当初はポルノサイト）
- whitehouse.org：米大統領を風刺するパロディサイト
正しいURLの末尾は「gov」ですが、タイポスクワッティングサイトでは「com」や「org」が使われています。
2-2.Wikipedia（ウィキペディア）
「Wikipedia（ウィキペディア）」にも数多くのタイポスクワッティングサイトが存在するのは知っていますか？
以下のような入力ミスを悪用した偽サイトが存在します。
- www.wiipedia.org
- www.eikipedia.org
- www.wilipedia.org
- www.wikipedi.org
攻撃者はユーザーが入力ミスしそうなURLをあらかじめ用意し、偽のWEBサイトを開設。
こうしたサイトにはポップアップ広告・マルウェアのダウンロード・サーチエンジンなどが含まれます。
- 多くのユーザーが利用するWEBサイトには複数のタイポスクワッティングサイトが存在する可能性があるため、直接URLを入力する際のミスには注意です。
攻撃者の目的はさまざまですが、表示されるWEBサイトに少しでも違和感があるなら流出の可能性があるので個人情報の入力は止めたほうがよいでしょう。
3.タイポスクワッティングの基本的な3つの対策
タイポスクワッティングは日頃からURLの打ち間違いに注意していれば被害を防げます。
ここではタイポスクワッティングの基本的な対策を3つご紹介します。
3-1.入力したURLに間違いがないかをチェック！
タイポスクワッティングはユーザーのURLの「入力ミス」や「タイピングミス」を狙い攻撃します。
閲覧したいWEBサイトのURLを直接入力しアクセスするときは、入力ミスがないかを必ずチェック/span>しましょう！
ミスがなければタイポスクワッティングの被害に遭うことはありません。
3-2.ブックマーク機能をフル活用！
タイポスクワッティング対策にはブラウザの「ブックマーク機能を使うこと」も効果的です。
ブックマークはWEBサイトのURLを登録するブラウザの一般的な機能のこと。
URLを登録しておけば、次回以降は一覧から選択するだけでWEBサイトにアクセスできます。
この機能を活用すると直接URLを入力する必要がなくなるため、入力ミスを狙ったタイポスクワッティングの被害を防げます。
頻繁に閲覧するWEBサイトやお気に入りのWEBサイトは、ブックマーク機能を活用しましょう。
3-3.セキュリティソフトの導入が効果的！
タイポスクワッティングによる被害は詐欺サイトへの誘導やマルウェア感染も懸念されるため、セキュリティソフトの導入が対策になります。
セキュリティソフトのメーカーによって機能は異なりますが、タイポスクワッティングによる不正サイトへの誘導がブロックできるほか、マルウェアの検知・削除もできます。
多くのセキュリティソフトがネット上で配信されていますが、その中でおすすめなのが「ESETインターネット セキュリティ」です。
「ESET」は詐欺サイトへのアクセスをブロックしてくれるほか、ウイルス・スパイウェアなどの危険なマルウェアを検知・削除してくれるため、タイポスクワッティングによる被害を未然に防いでくれます。
またオフィスの総合的なセキュリティ対策を強化したい方は「Cyber Box Pro」の導入をおすすめします。
「Cyber Box Pro」の優れた機能
- 「ESET」がパッケージ内に入っている
- 「ESET」と「Cyber Box Pro」2つの機能がウイルスを検知
- IDS（不正侵入検知システム）機能付き
- 外部からの遠隔操作をブロック
- 社内ネットワークや社員専用サイトへの不正アクセスを監視
- 当製品1台だけで役員のPCおよび社員全員のセキュリティ管理が可能
- 複数の拠点の操作ログを一度に監視及び管理
タイポスクワッティングによる詐欺サイトへのアクセスブロックやマルウェア感染対策はもちろん、「Cyber Box Pro」1台で基本的なセキュリティ対策がすべて対応可能です。
「Cyber Box Pro」を導入すればそれぞれの対策に掛かるコストが不要になるため、大幅なコスト削減と業務効率化を図れます。
- セキュリティ対策ソフトはタイポスクワッティングだけでなく、あらゆるサイバー攻撃対策に効果的ですよ。
4.まとめ
タイポスクワッティングとはユーザーが直接URLを入力する際の間違いを悪用したサイバー攻撃です。
タイポスクワッティングの主な目的はユーザーを偽サイトへ誘導し広告収入を得ることですが、ほかにも危険なマルウェアに感染させる目的があります。
攻撃自体は「ユーザーの入力ミスを待って攻撃する」単純な仕組みのため、URLの入力さえ間違えなければ被害に遭うことはありません。
WEBサイトに直接URLを入力しアクセスするときは、打ち間違いがないか確認しブックマーク機能をフル活用しましょう。
セキュリティソフトを活用していない方やどのソフトを選べばいいのかお悩みの方は「ESET」 や「Cyber Box Pro」 の導入を検討してみてはいかがでしょうか？
