不正サイトへのアクセス方法として、似せたURL（ホームページアドレス）へ間違えて入力したユーザーを誘い込む「タイポスワッピング」があります。有名なWebサイトのドメイン名に酷似したドメインを取得し、タイプミスをしたユーザーを誘導し、GoogleのAdSenseのような自動広告サービスなどの手段で何らかの利益を得ようとする行為です。

決して新しくない手法ですが決して収まるところを知らず、セキュリティ企業の最近の調査では、有名企業のURL一文字を間違えると80%以上の確率で不正サイトにつながってしまうことが分かりました。

URLの入力ミスに付け込む「タイポ乗っ取り」、アダルトや犯罪ページに誘導も　-ITmedia(2011年12月15日）

Facebook、Google、Twitter、Microsoft、Apple、Sophosの各ドメインについて、例えば「google.com」と入力しようとして「goole.com」と入力するなど1文字間違えたケースを想定して、表示された1502のWebサイトと1万4495のURLについて調べた。

その結果、Facebook、Google、AppleのURLでは1文字間違えた場合、80％以上の確率でタイポ乗っ取りサイトにつながることが判明。表示された1万4495のURLのうち、詐欺や迷惑メールなどに絡むサイバー犯罪のURLが2.7％、アダルト／出会い系が2.4％を占めた。最も多かったのは広告／ポップアップの15％で、次いでドメイン登録などを売り込もうとするIT／ホスティング関連（12％）、検索（6％）の順だった。ただ、マルウェアを仕込んだページが見つかったのは1件のみと、「予想外に少なかった」という。

URLを手入力する機会はだいぶ減ったとはいえ、その分視認確認の機会も減るとリスクは高まります。よく注意していなければ、「問題ない」ように”見える”URLでも実はヤバいサイトであったということも。

この調査会社ではマルウェアなどの危険に直結するケースは少ないものの、これに付け込もうとするサイバー犯罪やアダルトなどの危険なURLが多数存在することが分かったと結論付け、ユーザーに注意を促しています。

調査によるとこのタイポスワッピングは人気の差もあるようで、下記の参照にもありますが一番タイポスワッピングの不正サイトが多いのはapple.comとなりました。

The scale of typosquatting

Things were quite different for the other brands in our survey.

Microsoft typosquats were at 61%, Twitter 74%, Facebook 81%, Google 83% and Apple at 86%. Clearly, there is a significant typosquatting ecosystem around high-profile, often-typed domain names.

昨今増えているスマートフォンからだと、画面表示が小さい分より確認が難しいため、今後被害は増えるかもしれません。

スマートフォンのアプリでは、アプリ内で通常のウェブサイトを閲覧できるものもありますが、URL入力バーが通常のブラウザのように見えないものがあるのでより注意が必要です。

Tweet