終わったサイトのDNS設定、残っていませんか？ サブドメインと失効ドメインの乗っ取りを防ぐ棚卸し

期間限定のキャンペーンサイト、数年前に終了したサービスの紹介ページ、外部のヘルプデスクやLP作成ツールと連携するために用意した support.example.co.jp のようなアドレス。会社のドメインには、こうした「サブドメイン」が少しずつ増えていきます。サイトやサービスを終えたとき、契約は解約しても、DNSの設定までは見直していないということはないでしょうか。

日本のドメイン名の登録管理を行うJPRS（日本レジストリサービス）は、2025年1月に、中央省庁が過去に使っていた複数のドメイン名が第三者に不正利用され得る状態になっていたことが相次いで報告され、一部では実際に不正利用が確認されたと紹介しています。標的になったのは、期間限定のWebサイトで使われ、すでに運用を終えていたサブドメインでした。

JPRSは、使い終わったドメイン名が第三者に使われるパターンを大きく二つに分けています。一つは、更新されずに廃止されたドメイン名を第三者が登録し直すもの。もう一つは、サイトの終了後に残ったままのDNS設定を使って、同じ名前のWebサイトを勝手に復活させるものです。どちらも、自社の名前を使った偽サイトやなりすましにつながるおそれがあります。

これは大きな組織だけの話ではありません。ドメインは会社の住所や看板と同じように、取引先やお客様が「この会社のものだ」と信じる根拠になっています。自社のドメインの下で偽のページが公開されれば、訪問した人は本物だと受け取りやすく、問い合わせ対応や説明に追われるのは自社です。被害の規模にかかわらず、信用への影響は避けにくいものです。

DNSの基本的な仕組みについてはDNSの基礎を解説した記事で、担当者が退職したときのログイン情報の控えについては退職後の契約とログインの控えに関する記事で取り上げました。今回はその先にある、「使い終わったドメインやDNS設定を、どう片付けるか」に焦点を当てます。

私はフリーランスのWebディレクター兼エンジニアとして、サイトの公開や移転のたびにDNSの設定に関わってきました。この記事では、経営者・Web担当者の方に向けて、サブドメインテイクオーバーの仕組み、失効したドメインが第三者に渡るリスク、そしてドメインとDNSレコードの棚卸しの進め方を、専門用語をできるだけかみ砕いて整理します。技術的な作業を自分で行わない立場の方でも、制作会社や管理者に何を確認すればよいかが分かるように書いています。

サブドメインテイクオーバーとは：撤去し忘れた「案内看板」が乗っ取られる

外部サービスを使うときに追加するDNS設定

キャンペーンサイトを外部のホスティングサービスやCDN（コンテンツを配信する事業者のサービス）で公開する場合、自社のドメインのDNSに「このサブドメインへのアクセスは、事業者のサーバーに案内してください」という設定を追加します。JPRSの注意喚起では、次のような設定例が紹介されています。

campaign.example.co.jp.  IN  CNAME  cdn.example.net.

これは、campaign.example.co.jp という名前を、事業者側の cdn.example.net に向けるという意味です。この設定をCNAMEレコードと呼びます。サブドメインのDNSの管理そのものを外部に任せるNSレコードという設定が使われることもあります。

解約後に残った設定が「宙ぶらりん」になる

問題は、サービスを解約したあとです。事業者側ではサイトが消えていても、自社のDNSには案内の設定が残っています。JPRSは、参照先が無効になったまま残っている設定を「ダングリングレコード」（宙ぶらりんの設定）と呼び、悪用され得る状態だと説明しています。

JPRSの資料では、これをキャンペーン会場の案内看板にたとえています。キャンペーンが終わっても看板を撤去しなければ、案内先の跡地を別の誰かに再利用されてしまう、という構図です。

第三者が同じ名前でサイトを復活させる手順

JPRSによると、攻撃の流れは次のとおりです。

1. 攻撃できるダングリングレコードを見つける
2. 参照先の事業者と契約し、そのサブドメインを使う権限を得る
3. 事業者のサーバーに、同じサブドメイン名でWebサイトを作る
4. そのサイトに不適切なコンテンツを設定する

訪問者から見ると、アドレスは正規の会社のドメインのままです。JPRSは、乗っ取りが成功した場合の影響として、意図しないWebサイトの公開、フィッシング、個人情報の窃取、マルウェアの注入、クッキーの改変、なりすましメールの送信などを挙げています。会社の名前を借りた偽の窓口が、知らないうちに開設される状態だといえます。

事業者側の対策だけに頼らない

JPRSは、サービスを提供する事業者側の対策として、利用開始時にドメインの管理権限を確認することや、解約時に利用者のDNS設定が削除されているかを確認することも挙げています。ただし、こうした対策をどこまで行っているかは事業者によって異なり、利用者の側から見分けるのは簡単ではありません。自社のDNSに何を残すかは、最終的には自社で管理する必要があります。

なぜ見つかるのか：DNSの設定は誰でも確認できる公開情報

攻撃者が「当たり」をつける三つの方法

「古いサブドメインのことなど、誰も覚えていないはず」と考えるかもしれません。しかし、JPRSがInterop Tokyo 2025で行ったセミナーの報告では、攻撃者がダングリングレコードを見つける方法として、次の三つが紹介されています。

• DNSの設定が公開情報であることを利用する。指定したドメイン名のDNS設定を高速に調べるツールが公開されており、誰でも使える
• サーバー証明書の発行記録（CTログ）を利用する。どのサーバーの証明書がいつ発行されたかは、インターネット上で誰でも確認できる
• Passive DNSを利用する。過去のDNSの応答を収集・保存しているサービスから、以前使われていたドメイン名を知ることができる

さらに、稼働中のWebサイトのDNS設定を調べれば、どの事業者のサービスを使っているかが分かるため、サイトの終了後に乗っ取りを試みる「当たり」をつけられるとも説明されています。自動化された探索が広がっている今、社内で忘れられたサブドメインほど、外からは見つけやすい状態にあると考えたほうが安全です。

狙われやすいサブドメインの例

JPRSは、対象になりやすいものの一つとして、キャンペーンサイトなど期間限定のWebサイトを挙げています。中小企業でも、次のようなサブドメインは心当たりがあるのではないでしょうか。

• 季節のキャンペーンや展示会のために作った特設サイト
• 終了したサービスや旧ブランドの紹介サイト
• 外部のヘルプデスク、予約システム、メール配信、LP作成ツールなどと連携するために設定したアドレス
• 制作会社がテスト環境として用意した確認用のアドレス

これらは、担当者や制作会社が個別に設定することが多く、社内で一覧として管理されていないことがよくあります。

CNAMEだけでなく、ほかのレコードにも目を向ける

デジタル庁の「Webサイト等の整備及び廃止に係るドメイン管理ガイドライン」では、ドメインの移行や廃止の際に、CNAMEレコード、A/AAAAレコード、NSレコード、MXレコードなどの削除漏れがないよう注意することを求めています。Webサイト用の設定だけでなく、メールや外部サービスの認証用に追加した設定も、片付けの対象として見ておく必要があります。

なお、攻撃者が使う調査ツールは、裏を返せば自社の確認にも使えるものです。JPRSも、攻撃可能なDNS設定が残っていないかを確認するツールを活用し、削除漏れを検知・修正することを有効な対策として挙げています。自社で扱うのが難しい場合は、制作会社や保守の担当者に確認を依頼するとよいでしょう。

更新を忘れて失効したドメインが、第三者に渡るリスク

廃止されたドメインは、一定期間のあと誰でも登録できる

サブドメインの問題とは別に、会社のドメインそのものを失うリスクもあります。JPRSの「ドメイン名の廃止に関する注意」によると、ドメイン名を廃止した場合、一定期間が過ぎると第三者がそのドメイン名を登録できるようになります。更新の手続きを忘れて有効期限が過ぎた場合も同じです。廃止されたドメインが再び登録できるようになる瞬間を狙って登録することは「ドロップキャッチ」と呼ばれ、JPRSのメールマガジンでは、この行為自体は違法ではないと紹介されています。

Webサイトとメール、それぞれで起こり得ること

JPRSは、廃止されたドメインでも、他のサイトからのリンクや検索エンジンでの評価は残るため、アクセスを見込んだ第三者に登録され、詐欺サイトなどに悪用される可能性があると説明しています。昔のブックマークや名刺のURLから訪れた人が、見知らぬサイトに案内されることになります。

メールアドレスとして使っていた場合は、さらに注意が必要です。第三者が同じドメインで同じメールアドレスを作れば、素性を偽ったメールを送れます。また、そのメールアドレスをSNSや各種Webサービスのログインに使っていた場合、パスワードの再設定機能を使ってアカウントを乗っ取られるおそれがあります。さらにJPRSは、商標の侵害など紛争処理の方針に当てはまる事由がない限り、第三者による登録や使用を差し止めることはできないとしています。

失効しても、すぐに取り戻せなくなるわけではない

うっかり更新を忘れた場合でも、取り戻せる期間があります。JPドメイン名では、廃止から20日以内であれば登録回復の申請ができるとされています（受付期間や手数料は事業者によって異なります）。.com などのドメインについては、ICANNの規定で、登録事業者は有効期限のおよそ1か月前と1週間前に通知を送ること、削除後30日間は元の登録者が回復を申し出られる期間を設けることが定められています。ただし、これらの通知は登録時の連絡先に届くため、その宛先が誰にも読まれていなければ意味を持ちません。

手放すときは「すぐに廃止しない」が基本

社名変更やサイトの統合で、意図してドメインを手放す場合もあります。総務省が地方公共団体向けのガイドライン改定で示した考え方では、旧ドメインを一定期間保持し、旧ドメインへのアクセスを後継のサイトへ恒久的に転送（HTTPの301リダイレクト）することが望ましいとされています。また、デジタル庁のガイドラインでは、府省のドメインを移行する際に、旧ドメインを1年以上運用しながら移行の案内を行うことが示されています。企業がそのまま従う義務はありませんが、手放すまでの段取りを考える目安になります。

ドメインとDNSレコードの棚卸し：持っているものを一覧にする

一覧表にまとめる項目

対策の基本は、自社が持っているドメインと、そこに設定されているDNSレコードを一覧にすることです。デジタル庁のガイドラインでも、ドメインの管理手順を「取得・運用時」「廃止時」「年次の確認」の三つで構成することが示されています。中小企業でも、次のような表を一枚作っておくだけで、見通しが大きく変わります。

一覧を作るときは、ドメインの登録事業者の管理画面と、DNSを管理しているサービスの画面の両方を確認します。DNSの管理を登録事業者とは別のサービスに任せている場合もあるため、「どこでDNSを管理しているか」を最初に確かめておくと、作業が進めやすくなります。

悪い例 vs 改善例

悪い例: キャンペーンが終わり、販促担当が外部サービスを解約した。DNSの設定は制作会社が行ったものなので、社内では誰も気にしておらず、CNAMEレコードはそのまま残っている。

改善例: サイトやサービスを終了するときの手順に、「外部サービスを解約する前に、DNSのレコードを削除する」ことを入れておく。解約の担当とDNSの担当が別の場合は、終了の連絡をDNSの担当に回すことを決まりにする。

JPRSの資料でも、Webサイトの終了時にDNS設定を削除・変更することに加えて、ツールなどを使って削除漏れを定期的に確認することが有効な対策として挙げられています。

現場でつまずきやすい点

棚卸しで迷いやすいのが、「このレコードが何に使われているか分からない」というケースです。外部サービスの所有権を確認するためのレコードや、メールの送信元を証明するためのレコードなど、消すと業務に影響するものも含まれています。用途が分からないものは、すぐに削除せず、設定した制作会社や各サービスの管理者に確認してから判断します。

もう一つは、棚卸しを一度で終わらせてしまうことです。サブドメインはキャンペーンや新しいツールの導入のたびに増えていきます。デジタル庁のガイドラインが年次の確認を手順に含めているように、少なくとも年に一度は一覧と実際の設定を見比べ、サイトやサービスを終了するときにはその都度更新する、という二本立てで運用すると、抜けが出にくくなります。

自動更新と管理者情報の確認：失効を防ぐための日常の備え

自動更新を有効にし、支払い方法も確認する

ドメインの失効を防ぐうえで基本になるのが、登録事業者の管理画面で自動更新を有効にしておくことです。ただし、自動更新にしていても、登録しているクレジットカードの有効期限が切れていたり、支払いに失敗したりすると、更新されないことがあります。カードを切り替えたときには、ドメインの支払い方法も一緒に見直すようにしておくと安心です。

連絡先のメールアドレスは「届く場所」になっているか

登録事業者からの更新の案内は、登録時の連絡先に届きます。この連絡先が退職した社員の個人アドレスや、契約が終わった制作会社のアドレスになっていると、通知が届いても誰も気付きません。また、ドメインを登録した名義が制作会社になっていると、自社の判断で更新や移管ができない場合もあります。JPRSが2026年1月のJPNICのセミナーで示した資料でも、レジストラや指定事業者からの連絡を常に受け取れるようにしておくことが、トラブルを避けるための対策として挙げられています。

連絡先には、個人ではなく複数人が読める共有のアドレスを使い、登録者の名義が自社になっているかを確認しておきます。あわせて、ドメインごとの有効期限を社内の共有カレンダーに登録し、1か月前に担当者が更新状況を確かめる、という簡単な決まりを作っておくと、通知メールを見落とした場合の備えになります。

管理画面のログインとロックの仕組み

同じ資料では、ドメインの管理サービスへのアクセス制限や認証の強化も挙げられています。登録事業者の管理画面に二段階認証を設定しておけば、パスワードが漏れた場合でも、ドメインの設定を勝手に書き換えられるリスクを抑えやすくなります。JPドメイン名には、登録情報を書き換えられないようにレジストリ側でロックする「レジストリロック」というサービスもあり、重要なドメインでは検討の余地があります。

使わなくなったドメインは、すぐに手放さない

総務省の地方公共団体向けガイドラインの改定資料では、旧ドメインの運用を停止する場合、第三者に再取得されて詐欺サイトなどに誘導されることのないよう、一定期間ドメインを保持することが示されています。JPRSも、トラブルの防止に最も有効な対策はドメイン名の登録を続けることだとしています。社名変更やブランドの統合で使わなくなったドメインも、年間の更新費用と、手放した後のリスクを比べて判断することをおすすめします。

まとめ：ドメインの管理は、会社の看板の管理

サブドメインテイクオーバーと失効ドメインの再登録は、どちらも「使い終わったもの」を片付けないまま放置したことが入り口になります。キャンペーンサイトを解約したのにDNSの案内が残っている、更新の通知が誰にも届かないままドメインが失効する。いずれも、日々の業務の中では目に入りにくいものです。しかし、DNSの設定は公開情報であり、外部から自動的に探されています。そして乗っ取られたときに使われるのは、自社の名前そのものです。

JPRSは、ドメイン名の管理をブランドの管理として捉え、組織の中でルールと手順を確立しておくことの大切さを伝えています。新しいサブドメインを作るとき、外部サービスを解約するとき、ドメインの更新が近づいたとき。それぞれの場面で、誰が何を確認するかを決めておくことが、被害を防ぐ現実的な方法です。大がかりなシステムを導入しなくても、一覧表と終了時の手順を整えるだけで、リスクを着実に小さくしていけます。

この問題が厄介なのは、関わる人が分かれていることです。外部サービスを契約・解約するのは販促や営業の担当者、DNSを設定するのは制作会社や情報システムの担当者、ドメインの更新費用を支払うのは経理、というように、一つのドメインに複数の部署や会社が関わっています。それぞれが自分の作業を終えても、全体を見ている人がいなければ、案内の設定や更新の手続きが抜け落ちます。経営者の方には、ドメインとDNSの「全体の管理者」を一人決めていただくことをおすすめします。制作者の側でも、サイトの公開時に追加したレコードを納品書類に記録し、終了時の削除まで提案に含めておくと、クライアントの負担を減らせます。

まずは、次の3つを確認するところから始めてみてください。

1. 自社のドメインに、すでに終了したキャンペーンやサービスのサブドメインの設定が残っていないか
2. ドメインの自動更新が有効になっており、支払いに使うカードの有効期限が切れていないか
3. 登録事業者からの通知が届くメールアドレスが、いまも社内で読まれているか

この3つのうち、答えに迷う項目があれば、そこが見直すポイントです。制作会社にDNSの管理を任せている場合は、次の打ち合わせで、設定されているレコードの一覧を出してもらうところから始めると進めやすくなります。

「自社のドメインやDNSの設定を誰が管理しているのか分からない」「古いサブドメインが残っていないか一緒に確認してほしい」とお考えの企業・店舗の方は、現状の洗い出しからご相談を承っています。相談・お問い合わせからお気軽にご連絡ください。