URL偽装 - Cyber SEC TSM | サイバーセキュリティTSM

URL偽装

本物の Web サイトの URL に見えるが、実際には別のサイトを指す URL を使って、利用者をだます手口です（英語では URL spoofing）。フィッシングで、偽のサイトへ誘導するために使われます。

URL のどこが行き先を決めるか

見分けるには、URL のどの部分が行き先を決めるかを知る必要があります。

• URL の「//」の後から、次の「/」「?」「#」のどれか（なければ末尾）までを authority と呼びます。authority は「利用者の情報（userinfo）@ホスト名:ポート番号」の形で、利用者の情報とポート番号は省けます。行き先はホスト名、つまり「@」があればその後ろです（IETF RFC 3986）
• ドメイン名は、左から右へ、細かい階層から大きい階層の順に書きます（IETF RFC 1034）。そのため、右の端から読んでいくと、その名前がどのドメインの管理下にあるかが分かります。ただし、co.jp のように多くの組織が共同で使う区切り（公開サフィックス）があるので、その1つ左の部分までが、登録の単位（登録されたドメイン）です。NIST SP 800-63B-4 も、接続先の名前を扱う規定の中で、公開サフィックスの1つ下の階層という考え方を使っています
• 右の端が有名な事業者のドメインでも、安全とは限りません。その事業者のサービス（クラウドの保存領域など）の上に、ほかの人が作ったページが置かれていることがあります

例（example.com・example.net は説明用に予約された名前。先頭の https: と // は省略）。

URL	実際の行き先
www.example.com/	www.example.com
www.example.com.example.net/	example.net の管理者が作った名前。左側に「www.example.com」があっても、example.com の管理者とは関係がない
「www.example.com」の直後に「@example.net/」を続けたもの	example.net。「@」より前は行き先ではない

主な手口

手口	内容	出典
「@」の前に本物らしい名前を置く	上の例の3行目。RFC 3986 は、userinfo が使われることはまれで、ホストの前に置かれるため、利用者を誤解させる URI を作れると注意している	RFC 3986 7.6、ATT&CK T1566.002
ホスト名を数字で書く	ホスト名を整数や16進数の形で書けることを使い、行き先を読み取りにくくする	ATT&CK T1566.002
見た目の似た文字（ホモグラフ）	形の似た文字や、キリル文字・ギリシャ文字など別の文字体系の文字を使い、本物とそっくりに見えるドメイン名を作る（国際化ドメイン名を使うものを IDN ホモグラフ攻撃と呼ぶ）	ATT&CK T1583.001・T1566.002
つづりの近いドメイン	本物に近いつづり（タイポスクワッティング）や、別のトップレベルドメイン（.com・.net など右の端の部分）で登録する	ATT&CK T1583.001
期限切れのドメインの再取得	期限が切れたドメインを取得し、それまでの評判や、守る側の許可リストに載っていることを使う	ATT&CK T1583.001

ATT&CK は、攻撃者の手口を整理した公開の知識ベースです。

目で確かめることの限界

ATT&CK T1566.002 は、利用者が訪問先のドメインを目で確かめることはできるが、似た文字や URL の難読化（わざと読みにくくすること）があると、目視での確認は難しくなるとしています。モバイル端末では画面が小さいため、本物と偽物の小さな違いに気づきにくいとも書いています（Mobile T1660）。URL を読む力に加えて、名前を機械で照合する手段を組み合わせます。

守る手段

手段	何をするか
リンクからログインしない	ログインや支払いは、メールや SMS のリンクからではなく、公式のアプリか、自分で登録したブックマークから開く。表示されたリンクの行き先と、転送を経て最後に開く先が同じとは限らない
フィッシングに強い認証	NIST SP 800-63B-4 は、フィッシングに強い方式の一つとして、認証の出力を、検証した接続先の名前（ホスト名など）に暗号で結び付ける方法を挙げている。似た名前の偽サイトでは、本物向けの認証が成り立たない（FIDO2／WebAuthn（パスキー、セキュリティキー）など。多要素認証）
パスワード管理ソフト	英国の国家サイバーセキュリティセンター（NCSC）は、本物のサイトを見分けて偽のサイトでは自動入力しないものがあるとしている。手でパスワードを入力する場面が珍しくなれば、怪しい要求に気づきやすい
悪性のサイトへの接続を止める	NCSC は、マルウェアやフィッシングに使われていると分かったサイトへの接続を、プロキシで止めることを勧めている。ATT&CK は、IDN やホモグラフの攻撃から守るブラウザの拡張機能を、ポリシーで導入することも挙げている（T1566.002 の緩和策 M1054）
似たドメインを先に登録する	組織が自分のドメインに似たドメインを先に登録して、攻撃者が使うのを抑える（T1583.001 の緩和策 M1056）
鍵のマークを安全の目印にしない	Chrome の開発チームは、鍵のアイコンはサイトの信頼性を示すものではなく、フィッシングのサイトのほぼすべてが HTTPS を使い、鍵のアイコンを表示すると書いている（2023年）。同じ告知で、デスクトップ版の Chrome 117（2023年9月）から、アドレスバーの鍵のアイコンを別のアイコンに置き換える予定とした

関連するページ

フィッシング・スピアフィッシングリンク・スミッシング・多要素認証・ソーシャルエンジニアリング

出典

• IETF RFC 3986 Uniform Resource Identifier (URI): Generic Syntax（2005年1月）3.2・7.6
• IETF RFC 1034 Domain Names - Concepts and Facilities（1987年11月）3.1
• MITRE ATT&CK T1566.002 Phishing: Spearphishing Link（2026年9月更新）
• MITRE ATT&CK T1583.001 Acquire Infrastructure: Domains（2026年9月更新）
• MITRE ATT&CK T1660 Phishing（Mobile、2026年5月更新）
• NIST SP 800-63B-4（2025年7月）3.2.5
• NCSC「Phishing attacks: defending your organisation」（2018年2月公開、2024年2月見直し）
• Chromium Blog「An Update on the Lock Icon」（2023年5月2日）

確認日：2026年10月16日
ATT&CK：© 2026 The MITRE Corporation. This work is reproduced and distributed with the permission of The MITRE Corporation.（Terms of Use）
NCSC：Contains public sector information licensed under the Open Government Licence v3.0.