Domain Apocalypse

ソーシャルエンジニアリング、レジストラアカウントへの不正アクセス、DNSプロバイダーの乗っ取り、NSハイジャック、失効ドメインの奪取——攻撃者が実際にドメインを乗っ取る5つの手口と、それぞれを防ぐ具体的な対策を解説します。

2025年10月20日に発生したAWS障害を、レジストラ／DNS運用の視点から読み解く。DNS の仕組み、障害がこれほど広範に伝播した理由、そして耐障害性の高いインターネット運用チームが取れる対策を解説する。

トークン化ドメインを保有するウォレットへのアクセスを失った場合に実際に何が起きるのか、そして最悪の事態を避けるために今すぐ取れる運用上の対策を解説します。バックアップ、マルチシグ、ハードウェアウォレット、ソーシャルリカバリー、そしてどのプラットフォームにも限界があるという現実について。

2015年9月、元Google社員がGoogle Domainsを通じてgoogle.comを12ドルで購入し、世界で最も価値あるドメインの管理権を約1分間保持した。Sanmay Vedと6,006.13ドルのバウンティ、そして「1分間の所有」が明かすドメイン支配の実態。

2020年7月15日、攻撃者は電話一本でTwitterに侵入し、オバマ、バイデン、マスク、ゲイツ、Apple、Uberの認証済みアカウントを乗っ取り、ビットコイン2倍詐欺を実行——約11万8,000ドルを詐取した。オンライン上のアイデンティティがいかにして奪われたか、そして「名前を所有する」ことの意味を深く掘り下げる。

2024年7月、Google DomainsからSquarespaceへのレジストラ移行が、デフォルト認証の脆弱性を大規模な攻撃面に変えた。攻撃者はCompound Finance、Celer Network、Pendle、Unstoppable Domainsなど暗号資産・DeFiプロジェクトのドメインを乗っ取り、ウォレットドレイナー型フィッシングサイトに誘導した。「シームレス」な移行がいかにして数百の無施錠の玄関を生み出したか、そしてレジストラセキュリティとMFAについて何を教えてくれるかを解説する。

2021年12月、攻撃者はBadgerDAOのCloudflareアカウントを侵害し、ウェブサイトのフロントエンドに悪意あるスクリプトを1本注入した。監査済みのスマートコントラクトには一切手を触れていないにもかかわらず、ユーザーが知らぬまま署名したウォレット承認を通じて約1億2000万ドルが奪われた。ウェブサイトもセキュリティの攻撃面であることを深掘りする。

2021年9月、Bitcoin.org――匿名運営者Cobraが長年運営してきたBitcoinの情報サイト――がDNS層でハイジャックされ、偽の「Bitcoinを倍増させる」プレゼント詐欺に変えられた。サイトがオフラインになるまでの間、詐欺師たちは約1万7,000ドルを騙し取った。Domain Maydayが、何が起きたのか、どのような手法だったのか、そしてクリプトネイティブなサイトであってもDNSに依存するという事実が何を教えてくれるのかを深く掘り下げる。

2022年8月、Curve Financeのスマートコントラクトは無傷だった。しかし攻撃者はcurve.fiドメインをレジストラレベルで乗っ取り、サイトを複製し、ウォレットドレイナーで約57万ドルをユーザーから奪い取った。DeFiフロントエンドへのDNS攻撃の詳細と、ドメインセキュリティが教える教訓を深掘りする。

2018年末、Cisco Talosはイラン系の関与が指摘されるサイバー諜報作戦「DNSpionage」を公表した。この作戦は政府のDNSレコードを書き換え、メールおよびVPNトラフィックを攻撃者のサーバーへ迂回させ、正規のTLS証明書を取得することで痕跡を消した。米国政府が初めて発令した種類の緊急指令の引き金ともなった事案である。

2016年10月21日、Mirai IoTボットネットによるDDoS攻撃がDNSプロバイダーDynに3波にわたって押し寄せ、Twitter・Netflix・Reddit・Spotify・GitHub・Airbnb・PayPalを数時間にわたってダウンさせた。DNSプロバイダー集中リスクのドメイン・メーデー事例研究。

2017年9月、オランダのセキュリティ企業Fox-ITは、サードパーティのドメインレジストラに不正ログインされ、DNSを書き換えられ、不正取得されたTLS証明書を使って10時間以上にわたりクライアントトラフィックを中間者攻撃された。Fox-ITはこの事実を公表し、業界で最も透明性の高いポストモーテムとして知られている。

2020年から2022年にかけて、単一の脅威アクターグループがGoDaddyのインフラ内部に潜伏し続けた。ソースコードを盗み出し、Managed WordPress顧客120万人のデータを流出させ、さらには顧客のウェブサイトを断続的に悪意あるサイトへリダイレクトさせた。レジストラへの集中リスクと単一障害点が何を意味するのかを深く掘り下げる。

2014年末、ドメインネームシステム全体を統括する機関であるICANNは、自組織のドメインを詐称したスピアフィッシングメールによってスタッフの認証情報が盗まれ、攻撃者がCentralized Zone Data System（CZDS）への管理者アクセスを取得したことを公表した。DNS権威機関そのものがいかにしてフィッシングの被害を受けたか、何が漏洩したか、そして今もなぜ重要なのかを「Domain Mayday」が深く掘り下げる。

2015年2月25日、Lizard Squad はレジストラ Webnic を侵害して Lenovo.com をハイジャックし、世界最大のPCメーカーのドメインをウェブカム・スライドショーに差し替え、メールも傍受した。Superfish スキャンダルの直後に起きたこの事件は、レジストラこそが真のセキュリティ境界であることを示す Domain Mayday の深掘り事例だ。

2015年1月、Lizard Squadはmalaysiaairlines.comのDNSをハイジャックし、航空会社のサイトをタキシードを着たトカゲの画像と「404 — 機体が見つかりません」という皮肉な見出しに差し替えた。サーバーは一切侵害されていない――攻撃者はドメインの向き先を変えただけだった。DNSがいかに航空会社にとって最も無防備な玄関口になったかを、Domain Maydayが深掘りする。

2018年4月24日、攻撃者はAmazon Route 53のインターネットルーティングを乗っ取り、myetherwallet.comのDNS応答を改ざんして自己署名証明書を使ったフィッシングサイトを提供し、実際のユーザーのウォレットからおよそ15万ドル相当のEthereumを奪った。DNSがデフォルト信頼のルーティング層に依存している構造に迫る、Domain Mayday深掘り解説。

2005年1月、ニューヨーク最古の商業ISPであるPanix.comのドメインが、盗まれたクレジットカードを使ったオーストラリアの登録業者への不正移管によって奪われ、Webサービスとメールが数日間にわたってダウンした。当時の自動承認式レジストラ間移管ルールがその手口を可能にし、事後の復旧作業がドメイン移管ポリシーの抜本的な改革につながった。

2021年1月下旬、数十年にわたってPerlプログラミングコミュニティの拠点となっていたperl.comが、レジストラのアカウント侵害によって盗み取られた。ドメインは中国を経由して移転し、マルウェアと関連するIPアドレスに向けられ、19万ドルで売りに出された。本稿では、その経緯・奪還の過程、そしてレジストラのアカウントセキュリティに関する教訓を解説する。

2019年にCisco Talosが公開した国家支援型作戦「Sea Turtle」がいかにしてレジストラ・レジストリ・DNSプロバイダーを侵害してDNSをハイジャックし、政府機関・省庁・エネルギー企業のトラフィックを攻撃者のサーバーに誘導し、正規証明書を偽造し、国別TLDのレジストリにまで侵入したかを解説する。

1995年、スティーブン・コーエンという詐欺師が、Network Solutionsに偽造書類を一通送るだけで、正当な所有者ゲイリー・クレーメンからsex.comを盗み出した。取り戻すための長年にわたる法廷闘争は、6500万ドルの賠償判決、メキシコへの逃亡、そしてドメインが財産であるという画期的な判例で幕を閉じた。

2021年9月、匿名の請負業者がSushiSwapのMISOラunchpadフロントエンドに悪意あるコミットを紛れ込ませ、Jay Pegs Auto Martオークションから864.8 ETH（約300万ドル）を横流しした。コードのサプライチェーン、フロントエンドの信頼性、そして検証可能なオーナーシップが教えてくれることを、Domain Maydayが深く掘り下げる。

2013年8月27日、シリア電子軍はMelbourne ITの再販業者をフィッシングで攻撃し、nytimes.comとTwitterのドメインのDNSレコードを書き換えて、ニューヨーク・タイムズを数時間にわたってオフラインに追い込んだ。レジストラチェーンの弱い輪が大手新聞社の玄関口を破綻させるまでの経緯、そしてレジストリロックがあれば何が変わったかを徹底的に解説する。