ガーナや米領サモアなど3つの国別ドメイン管理組織が侵害、GoogleやYouTubeの不正証明書が発行される

要点

• ガーナ（.gh）、シエラレオネ（.sl）、米領サモア（.as）の3つの国別ドメイン（ccTLD）管理組織が何者かに侵害された。

• 攻撃者はDNSレコードを改ざんし、Let's EncryptなどからGoogleやYouTube向けの不正なHTTPS証明書を取得した。

• 公開ログの調査により、google.com.ghなど7つのドメインを対象に計12件の証明書が発行されていたことが判明した。

• Googleは自社システムの侵害を否定し、Chromeでの緊急遮断や認証局を通じた証明書の失効手続きを完了した。

• 攻撃の影響は他の世界的ブランドにも及んでいるとみられるが、攻撃者の身元や侵入手口は明らかになっていない。

• ガーナ、シエラレオネ、米領サモアの国別トップレベルドメインを管理する組織が侵害を受け、GoogleやYouTubeのドメイン名に対して不正なHTTPS証明書が発行されていたことが明らかになった。米Googleが2026年10月6日に公表し、セキュリティメディアのThe Hacker Newsが詳細を報じた。Googleは自社システムへの侵入を否定しており、ブラウザ「Chrome」での緊急遮断や認証局と連携した失効手続きを実施したと説明している。

3つのccTLDレジストリが侵害、なりすまし通信のリスクに直面

Googleによると、侵害されたのはガーナ（.gh）、シエラレオネ（.sl）、米領サモア（.as）の3つのccTLD（国コードトップレベルドメイン：国や地域ごとに割り当てられるドメイン）を統括するレジストリ組織である。

Google自体のシステムが侵入されたわけではないが、該当する3つのccTLD配下の全ドメインが悪用されるリスクに晒されたという。通信を暗号化するHTTPS証明書が第三者に渡ると、攻撃者は安全な接続を装って本物のサイトになりすまし、利用者が送信した秘密データを読み取ることが可能になる。

公開ログで判明した12件の不正証明書

The Hacker Newsが、証明書の発行履歴を記録する公開ログ「Certificate Transparency（CT）」を調査したところ、9月22日から27日にかけてGoogleとYouTubeのドメイン向けに少なくとも12件の証明書が発行されていた。

対象は「google.com.gh」「google.sl」「google.as」など計7ドメインで、Let's Encryptが11件、ZeroSSLが1件を発行していた。通常これらのドメインではGoogle独自の認証局が発行した証明書のみが使われている。10月7日にはLet's Encryptの担当者もフォーラムで、該当する証明書が発行され、すでに失効された事実を認めた。

権威DNSの改ざんと認証局による失効措置

発行された12件はすべて、ドメインの管理権限を確認して発行される「ドメイン認証型」の証明書だった。攻撃者はレジストリの侵害を通じて権威DNSレコードを書き換え、正当な管理者であるかのように偽装していた。Googleは、証明書を発行した認証局側に過失はなかったとしている。

Googleは10月6日の公表の前週に事態を把握し、Chromeの緊急ブロック機能「CRLSets」で対象証明書を遮断した。さらに認証局と連携して失効を進め、10月7日時点で12件すべてが失効した。ログ記録から失効までの期間は最短で約1日半、最長で約1週間だった。

他の世界的組織への波及と残された不明点

調査されたのは一部のドメインにとどまるため、不正発行の総数はさらに多い可能性がある。GoogleはCTログのデータから、自社以外にも世界的な有名ブランドや主要オンラインサービスを提供する複数組織が同様の被害を受けたとみられることを明かした。Googleはそれらの証明書もChromeで遮断し、可能な限り各組織へ連絡したという。

Chromeのセキュリティチームは、DNS乗っ取りの複雑さから影響を受けた全ドメインを特定できたとは保証できないとし、ドメイン所有者に対してブラウザだけに依存しないよう注意を促している。なお、不正証明書が悪用されて実際にデータが盗まれたかや、攻撃者の正体、レジストリの侵入手口などは公表されていない。