類似ドメイン（タイポスクワッティング）の種類と、見つけ方・対処法
example.co.jp を examp1e.co.jp に似せる。見た目の差が小さいほど、人は騙されます。類似ドメインの種類と対策を整理します。
公開: 2026年11月13日
類似ドメインとは
類似ドメインとは、実在する企業やサービスのドメイン名に、見た目や読みが似せて登録されたドメインです。正規のドメインと取り違えやすいことを悪用して、フィッシングサイトへの誘導、取引先へのなりすましメール、偽のログイン画面の設置などに使われます。ドメイン名の打ち間違いを狙う手口は、タイポスクワッティングとも呼ばれます。
主な種類
1. 文字の置換
見た目が似た文字に置き換えます。たとえば、小文字のl（エル）を数字の1に、o（オー）を数字の0に、rnをmに置き換える手法です。画面のフォントによっては、ほとんど見分けがつきません。
2. 打ち間違い（タイポ）
キーボードの打ち間違いを狙ったものです。文字の欠落、重複、隣り合う文字の入れ替え、キーボード上で隣にあるキーへの置き換えなどがあります。
3. 同形文字（IDNホモグラフ）
国際化ドメイン名（IDN）では、アルファベットによく似た、キリル文字やギリシャ文字などを使えます。見た目では全く同じに見えるドメインを、別の文字で登録できてしまいます。内部では「xn--」で始まるピュニコードに変換されるため、これが見つかる手がかりになります。
4. トップレベルドメインの違い
名前は同じで、.comと.co.jpなど、末尾だけを変えたドメインです。正規側が片方しか取得していない場合に、もう一方を取られる例があります。
5. ハイフンや単語の追加
正規の名前に、-login、-support、-secureなどの単語を付け加えたり、ハイフンで区切ったりする手法です。「サポート窓口のURL」と思わせます。
6. サブドメインへの偽装
example.co.jp.attacker.exampleのように、正規のドメイン名を、攻撃者のドメインのサブドメインとして含めます。左から読むと本物に見えますが、実際にドメインを所有しているのは、右側の部分です。
どう悪用されるのか
- メール経由：類似ドメインのメールアドレスから、取引先や社内の人に、請求書の送付先変更や、パスワードの再設定を装ったメールが送られます。送信元が自社ドメインそのものではないため、自社のDMARCでは防げません。
- ウェブ経由：広告や、SMSのリンク、検索結果から、偽サイトへ誘導します。
- ブランドの毀損：偽サイトでの被害は、利用者から見ると、正規の会社の問題として受け取られます。
見つける方法
- 候補を生成する：上記の種類にあたる名前を、機械的に大量に作ります。
- 登録済みかを調べる：候補のドメインについて、DNSで名前が引けるか（登録され、使われているか）を調べます。
- 危険度で優先順位を付ける：登録されたばかりか、メールを受信する設定（MXレコード）があるか、正規のドメインと同じネームサーバーを使っていないか、といった点で絞ります。
類似ドメイン検出は、この手順を自動で行います。新しく登録されたものや、メール受信の設定があるものは、危険度を上げて表示します。正規の企業が、防衛目的で自分で取得しているドメインも含まれるため、「同じネームサーバーを使っている」ものは、自社の取得分として区別します。
見つけたあとの対処
1. 状況を確認する
ドメインの登録日、ウェブサイトの内容、メールの受信設定を確認します。まだ中身がない、駐車中のドメインか、すでに悪用されているかで、緊急度が変わります。
2. 証拠を保存する
悪用されている場合は、画面のスクリーンショット、URL、取得日時を保存します。通報や削除依頼の際に必要になります。
3. 関係者に注意喚起する
社内、取引先、顧客に向けて、「正規のドメインはこちら」と明記した注意喚起を出します。
4. 削除・停止を求める
ホスティング会社やレジストラの不正利用の窓口（abuse窓口）に通報します。商標権の侵害などが明確な場合は、ドメイン名の紛争処理手続き（UDRPや、.jpのJP-DRPなど）で、移転や取消を求める方法もあります。
5. 自社でも先回りして取得する
すべてを取得するのは現実的ではありませんが、主要なトップレベルドメイン違いや、ごく典型的な打ち間違いは、防衛的に取得しておく価値があります。優先順位は、費用と被害の大きさのバランスで決めます。
自社ドメイン側でできること
- 自社のドメインにDMARC（
p=reject）を設定し、自社ドメインの名義での、なりすましメールを防ぐ。 - メールや通知で、公式サイトの正しいURLを一貫して案内する。「ここ以外は公式ではありません」と明示する。
- ブックマークや、公式アプリからのアクセスを案内し、メールのリンクからログインさせない運用にする。
よくある質問
類似ドメインを、すべて取得しておく必要はありますか？
現実的ではありません。数が膨大になるためです。主要なトップレベルドメイン違いと、典型的な打ち間違いに絞って取得し、残りは監視と、問題が出たときの対応で備えるのが、一般的です。
類似ドメインを見つけたら、すぐに削除を申し立てられますか？
登録されているだけでは、削除できないことが多いです。フィッシングサイトの設置や、商標権の侵害といった、不正な利用の実態が確認できると、レジストラや、ホスティング会社への通報や、紛争処理手続きが現実的になります。
自社のDMARCは、類似ドメインからのメールを防げますか？
防げません。DMARCが守るのは、自社のドメインを名乗るメールです。類似ドメインからのメールには、取引先への注意喚起や、メールの受信時の確認フローで対処します。