フィッシングサイトのドメインに見られる特徴と、見分け方
見た目が本物そっくりでも、URLを見る順番を知っていれば、多くの偽サイトは見抜けます。ドメインの観点から整理します。
公開: 2026年11月13日
まずURLの「読み方」を知る
URLのうち、サイトの所有者を決めるのは、https://のあと、最初のスラッシュ（/）までの部分、つまり「ホスト名」です。そして、ホスト名の中でも重要なのは、右側から読んだ、登録されたドメイン名の部分です。
https://login.example.co.jp.secure-check.example/account
└──────── ホスト名 ────────┘
実際の所有者は、右側の「secure-check.example」上の例は、左側に正規の名前が見えますが、所有者は右端の「secure-check.example」です。「example.co.jp」は、そのサブドメインの一部にすぎません。ホスト名を、右から左に読む習慣をつけると、見抜きやすくなります。
ドメインに見られる主な特徴
1. 登録されたばかり
フィッシングサイトは、短期間で使い捨てにされることが多く、取得してから数日〜数週間以内に使われる傾向があります。登録から日が浅いドメインが、有名なサービスをうたっていれば、強い警戒のサインです。ドメインの登録日は、WHOISやRDAPで確認できます。
2. ブランド名と別の単語の組み合わせ
ブランド名-login、ブランド名-support、secure-ブランド名、ブランド名-verifyのように、公式を思わせる単語を足しています。
3. 文字の置換や打ち間違い
l（エル）と1（イチ）、oと0、rnとm、全く同じに見える別の文字（同形文字）などで、ブランド名に似せています。詳しくは、「類似ドメインの種類と、見つけ方・対処法」をご覧ください。
4. サブドメインへの偽装
正規のドメイン名を、サブドメインの位置に入れ込んでいます（前述の例）。
5. 不自然に長い、またはハイフンが多い
URLの一部を長くして、肝心なところを目立たなくしたり、ハイフンで単語を何個もつなげたりします。
6. 悪用されやすいトップレベルドメイン
登録費用が安いトップレベルドメインは、悪用される割合が高い傾向があります。ただし、それだけで悪質と決めつけることはできません。あくまで、他の特徴と組み合わせて判断する材料のひとつです。
「鍵マーク」は安全の保証ではない
ブラウザのアドレスバーの鍵マーク（HTTPS）は、「通信が暗号化されている」ことを示すだけで、サイトの運営者が信頼できることを意味しません。無料で証明書を発行する認証局があるため、フィッシングサイトの多くもHTTPSを使っています。「鍵マークがあるから安全」という考え方は、通用しません。
メールやSMSのリンクを開く前にできること
- リンクを直接開かない：「アカウントを確認してください」「支払いに失敗しました」といった通知は、メールのリンクではなく、公式アプリや、ブックマークしておいた公式サイトから開きます。
- ホスト名を右から読む：上で説明した読み方で、所有者のドメインを確認します。
- 差出人のドメインも確認する：表示名ではなく、メールアドレスのドメインを見ます。
- パスワード管理ツールの動きを見る：パスワード管理ツールが、自動入力の候補を出さないときは、登録しているドメインとは別のサイトの可能性があります。
- 急がせる文言を疑う：「24時間以内に」「アカウントを停止します」など、考える時間を奪う表現は、典型的な手口です。
ドメイン名から判定するツール
フィッシングサイト判定は、ドメイン名のパターン（ブランド名の混入、文字置換、不審な単語やTLD）、DNSの情報、登録日からの経過日数などをもとに、フィッシングの特徴を点数化します。判定の根拠となった項目も一覧で表示します。
被害にあったかもしれないとき
- 入力したパスワードは、すぐに変更する。同じパスワードを使い回しているサービスも、すべて変更する。
- クレジットカード情報を入力した場合は、カード会社に連絡し、利用停止や再発行を依頼する。
- 勤務先のアカウントの場合は、情報システム部門に、すみやかに報告する。
- 警察や、フィッシング対策の専門機関への報告も、被害拡大を防ぐ助けになります。
よくある質問
ドメイン名だけで、フィッシングかどうかを断定できますか？
断定はできません。ドメイン名やDNS、登録日は、疑わしさの目安にすぎません。正規のサービスが新しいドメインを使うこともあります。複数の特徴を合わせて、判断してください。
スマートフォンでは、URLの確認が難しいです。
リンクを長押しして、遷移先のURLを確認する、または、メールのリンクを使わずに、公式アプリやブックマークから開く方法が確実です。
フィッシングサイトを見つけたら、どこに報告すればよいですか？
公式サイトの問い合わせ窓口、フィッシング対策の専門機関、ホスティング会社や、レジストラの不正利用の窓口が、報告先の候補です。URLと、確認した日時を、控えておきます。