失効ドメイン - 企業はかつて使っていた旧ドメインを放棄するべきではない
フィッシング詐欺やファーミング詐欺について以前幾つか言及した。
タイピングのミスで、www.example.comを閲覧しようとしたユーザーが類似したドメイン名の全く他のWebサイトに接続してしまうよう期待し運営されるtypoなミスに依存するようなものは、どこまで犯意を明らかにできるのかは微妙である。
以前、マイクロソフトに類似したマイクロー君が取得したドメインに対して、MSが訴訟の場に持ち込もうとした例があるが、多くの第三者の反感を買ってMSが事実上敗北した事例があった。
（今だから言えるけど、自分の目にはどう見ても、MSと関連付けさせたドメインを設定した時点で、彼は何らかの期待を持っていたのは明らかだ）
ドメイン訴訟は、自社の利益を守るためのみならず、信用棄損行為の抑止や詐欺目的の偽サイト運営を行われる可能性を抑止する目的で、日常的に行われている。
example.jpを取得したならば、類似または「誤解」される可能性があるドメインのexample.com、example.net、example.orgその他は抑えておくべきなのだな。
では、Webサイトを新たに構築する際に、新しいドメインを取得したらばどうするべきなのだろうか。
模範解答は、旧ドメインは死守し、旧ドメインに接続してきたユーザーは、新ドメインにて運用される新Webサイトにリダイレクトするよう設定するべきなのだ。
ある日の日常
詳細はボカして書くが、御容赦願いたい。
以前はよく使っていたオンラインショッピングから物品を購入する目的で、日本国内某社のURLに接続した、、、、はずなのだが。
メーカーのトップページではなく、よくある失効ドメインを扱うようなWebサイト - しかも悪質な事に、国内某所が管理しているように偽装していたのだよ。
Whoisより。
新ドメインexample.comの所有者は、example社。こちらに移転してオンラインショッピングを運用している。
旧ドメインold-example.jpの所有者は、old-example.jpなる者。彼らはexample社とは何の関わりも無い、だが表示される広告などは、example社と関連づけられており、事情を理解できないならばexample社が運用していると誤解する可能性が極めて高い。
つまり、某社の旧ドメインが失効した後に、第三者が取得し、某社が運用していると誤解されかねない運用を行っていたのだ
わかりづらい？
example社が極めて深刻なインシデントに接している・また近い将来接する可能性が高いと考えられるため、通報した。
貴社Webサイトは、登録ユーザーのアカウント名およびパスワードを、第三者が取得可能な状態である可能性があります。
旧ドメインold-example.jp宛に、個人・団体所有のWebサイトより多くのリンクが貼られておます。
旧ドメインのWebサイトを閲覧したユーザーは、貴社が運営する正規のWebサイトと錯誤し、ログイン操作を行う可能性が極めて高く。
貴社Webサイトと類似した・またはそのように錯誤させる、ユーザーのアカウントとパスワードを得る目的の詐欺的サイトを設置可能です。
つまり、以前の貴社Webサイトである「old-example.jp」のドメインは、貴社が更新を怠ったため（？）、第三者が取得できる可能性があるした状態に置かれているのではなかろうかと、疑念を感じております。
Webサイトの移転に伴い新ドメインを取得して移行するならば、旧ドメインは顧客の安全のため、延長し保持し続けなければ、リスクが発生するのです。
理想的には、旧ドメイン下のURLに接続したユーザーは、新ドメイン下で運用されるWebサイトへ「貴社が」リダイレクトするべきです。
得られた回答は、
1）ドメインを移動した当時はリダイレクトしていたが、旧ドメインが失効した後には更新しておらず。
2）その後第三者が旧ドメインを取得している。
わかりやすく、噛み砕いて説明する。
ある会社がWebサイトを移転しドメインを変更するとして。かつて運用されていたドメインが継続の手続きを行われないならば、第三者の手に渡ってしまう。
今回は危険なスクリプトや罠はなかったものの、また移転先サイトと同様のコンテンツでユーザーのIDとパスワードを取得するようなページは無かったものの、だ。
旧ドメインを取得した第三者が、悪意を持って新たに取得したのでなければ、元の所有者が運営するサイトと錯誤させるような登録者名でのWhois登録、元の所有者が関わると錯誤させるような広告を掲載するはずがない。
より一層の「悪意」をもって・または持つ可能性を検討すれば、ユーザーのIDとパスワードを取得する目的の詐欺的サイトを運用する場合も否定できない。
既に上記の理由で、「中立的」な人物または運営者が旧ドメインを取得したのではないのは明らかである。
旧ドメインをいかなる手段を用いたとしても再入手し、もしくは利用を差し止めるよう対処し、顧客の安全のために配慮しなければならない。
