タイポスクワッティングとは？URL打ち間違いを狙う罠

【深掘り】これだけは知っておけ

タイポスクワッティング（Typosquatting）は、ユーザーがWebブラウザにURLを入力する際の打ち間違いを悪用する攻撃です。「URLハイジャッキング」とも呼ばれ、「typo（打ち間違い）」と「squatting（占有）」を組み合わせた造語です。攻撃者（タイポスクワッター）は、有名サイトと紛らわしいドメインをあらかじめ登録しておき、偶然ミスタイプしたユーザーが訪れるのを待ち構えます。紛らわしいドメインのパターンには、一般的なスペルミス（exemple.com）、隣のキーを押すミス、ドメイン末尾の悪用（.comの代わりに.cmや.om）、別の単語の付加（payment-amazon.comなど＝コンボスクワッティング）、同音異義語（4ever21.com）などがあります。

偽サイトにアクセスすると、本家サイトと似たロゴ・レイアウト・コンテンツが使われ、ユーザーは本物のサイトにいると錯覚させられます。目的は複数あります。フィッシング（偽の通販サイトや会員登録サイトでクレジットカード情報やメールアドレスを入力させる）、マルウェア感染（パソコンに不正プログラムを送り込む）、自動課金詐欺（Netflixなどの偽サイトで定期支払いを契約させる）、サポート詐欺（Microsoftなどの偽サイトでサポート料金を支払わせる）、広告収入目的の誘導などです。2000年代にはGoogleになりすました「goggle.com」が月間数百万人を集めた例もあります。標的になるのは一般に訪問の多い有名サイトです。企業側は商標権侵害として、紛らわしいドメインの所有者と裁判を起こすこともあります。

具体的な対策として、よく使うサイトはブックマークを活用し、URLの直接入力を避けること。URLを入力する際は打ち間違いがないか確認すること。検索結果からアクセスする場合も、表示されたURLが正規ドメインか確認すること。OSとセキュリティソフトを最新に保ち、危険なサイトへのアクセスをブロックできるようにすること。クレジットカード情報やログイン情報を入力する前に、URLバーのドメインを今一度確認すること。タイポスクワッティングは「URLを入力する機会がなければ被害に遭わない」攻撃なので、ブックマークと公式アプリを使い、手入力の機会自体を減らすことが、最もシンプルで効果的な防御になります。

タイポスクワッティングの主なドメインパターン

典型的なフレーズ・文脈

詐欺師

（偽ドメイン取得中）大手通販サイトの打ち間違いドメインを大量に取得。一文字違い、末尾.cm、ハイフン付きの組み合わせ。本物そっくりのログイン画面を設置しておけば、ミスタイプした客が勝手にカード情報を入力してくれる。

キャスター

セキュリティ専門家は、URLの打ち間違いを狙って偽サイトに誘導するタイポスクワッティングについて、一文字違いなど気づきにくい変化が多いとして、よく使うサイトはブックマークからアクセスするよう呼びかけています。

専門家

よく使うサイトはURLを手入力せず、ブックマークから開いてください。それだけで打ち間違いの罠を避けられます。カード情報を入力する前にドメインの確認も忘れずに。被害は188へ。

困ったときの相談窓口

タイポスクワッティングによる被害（フィッシング・不正課金など）が疑われる場合は、以下の窓口に相談できます。

【まとめ】3つのポイント

この用語と一緒に知っておきたい用語

この手口が実際に使われた事件