期限切れドメインの再取得を悪用したサイバー攻撃が横行、約700万ドル投じるグループの実態も判明

要点

• DNS脅威インテリジェンス企業のInfobloxは、期限切れドメインがサイバー攻撃者によって再取得され、詐欺やマルウェア拡散の基盤として大規模に悪用されている実態を公表した。

• 2026年上半期には1日あたり約6万5000件の期限切れドメインが再登録されており、新規ドメイン登録全体の約20%を占めている。

• 攻撃者が過去の運用実績や評価を引き継ぐことで、セキュリティ製品の検知を回避しやすい点が深刻な課題となっている。

• 脅威グループ「Sable Squirrel」は期限切れドメインの獲得に約700万ドルを費やし、違法配信やマルウェア配布などの犯罪インフラを構築している。

• DNSセキュリティ企業のInfobloxは、所有者が手放した期限切れドメインが再登録され、詐欺サイトへの誘導やマルウェア配布の足場として悪用されている実態を調査レポートで明らかにした。2026年上半期における調査によると、1日平均で約6万5000件もの期限切れドメインが再登録されており、これは世界中で新たに登録されるドメイン全体の約2割に達しているという。特定の脅威グループは、過去の信頼性やトラフィックを買い取る目的で、これまでに約700万ドル（日本円で約10億円規模）をドメイン取得に投じていることも判明している。

毎日6万5000件が再登録される「ドロップキャッチ」の実態

ドメインの登録期間が終了し、一定の更新猶予期間を過ぎると、そのドメインは誰でも新たに登録可能な状態として解放される。このように解放された期限切れドメインを第三者がすかさず再取得する行為は「ドロップキャッチ」と呼ばれている。

Infobloxの分析によると、2026年上半期において、「.com」などの分野別トップレベルドメイン（gTLD）だけで1日あたり5万400件のドロップキャッチドメインが再登録されていた。国別に割り当てられた国別コードトップレベルドメイン（ccTLD）を加えると、その数は1日あたり約6万5000件にのぼる。これは日々のドメイン新規登録件数全体の約20%を占めており、新たに登録されるドメインの5件に1件が過去に利用歴のあるドメインという計算になる。

ドロップキャッチの発生頻度をトップレベルドメイン（TLD）別に見ると、最も活発だったのは「.net」と「.xyz」であり、定番である「.com」は第3位にとどまった。このほか、「.org」「.vip」「.online」「.store」「.site」「.app」「.shop」などのドメインでも活発な再取得が確認されている。これらを再登録する主な事業者（レジストラ）としてはGoDaddy、Namecheap、DropCatch.comなどが挙げられ、日次の中央値としてそれぞれ5246件、4385件、3568件のドロップキャッチを処理しているという。

自動化された高速争奪戦とオークションの仕組み

期限切れドメインの再取得市場では、専門のサービス事業者による自動化システムが大きな役割を果たしている。例えばDropCatch.comでは、レジストリからドメインが削除されるタイミングを追跡し、利用者が事前予約（バックオーダー）を入れたドメインを解放された瞬間に自動で取得するサービスを提供している。

同社の説明によると、毎日6万件から8万5000件の「.com」および「.net」ドメインが「デイリー・ドロップ（日次の解放枠）」として市場に出る。ドメインが登録可能になるミリ秒単位の瞬間をアルゴリズムで検知し、一度に数百回もの連続購入リクエストを発行することで、極めて競争の激しい市場で権利を確保しているという。

同じドメインに対して複数の利用者から事前予約が入った場合は公開オークションが開催され、最も高い入札額を提示した人物や組織がドメインの権利を獲得する。場合によっては、ドメインが一般プールに解放される前の段階でオークションが行われ、入札状況を閲覧できる仕組みも整っている。

攻撃者が「過去のドメイン」を巨額で買い漁る理由

期限切れドメインの取得自体は、将来的な悪用を防ぐためにセキュリティ担当者が予防的に確保する場合や、ドメイン投資家が転売利益を目的に売買する場合など、正当な目的でも行われている。しかし、悪意ある攻撃者がこれらを取得した場合、重大な脅威を生み出す要因となる。

攻撃者が期限切れドメインを好む最大の理由は、ドメインが持つ「過去の信頼性（レピュテーション）」や「残存する接続関係」を引き継げる点にある。Infobloxは、セキュリティ製品や脅威検知アルゴリズム、研究者などが、完全に新規で作られたドメインよりも、過去に運用実績のあるドメインを安全だと誤認しやすい傾向があると指摘している。攻撃者はこの盲点を突く形でドメインを悪用している。

さらに、ドメインの過去の所有者宛てに送信された電子メールの受信、検索エンジンに残っているキャッシュ情報、他サイトからの被リンク、過去の利用者がアクセスしてくる残存トラフィックなども攻撃者にとって有用な資産となる。過去に改ざん被害を受けたウェブサイトであれば、コードを挿入するための既成プラットフォームとして機能することや、放置されたDNSレコードが悪用される危険性もあるという。

700万ドルを費やして犯罪基盤を築く「Sable Squirrel」

こうした期限切れドメインの悪用例として、Infobloxは「Sable Squirrel」と呼ばれる脅威グループの存在を挙げている。このグループは、これまでに約700万ドルを投じて期限切れドメインを買い集めてきたと分析されている。

Sable Squirrelは獲得したドメインの過去の登録年数、被リンク、残存トラフィック、そして確立された評価を利用し、違法なスポーツライブ配信、オンラインギャンブルの宣伝、さらにはマルウェアを配布するための通信インフラなど、広範なサイバー犯罪ネットワークを構築・維持していると報告されている。