ハッカーがフィッシングURLを隠蔽する新手法「Punycode攻撃」の脅威と対策

ちょっとしたテストをしてみましょう。Webブラウザを起動して、あるリンクを開いてみてください。アドレスバーには緑色の鍵マークが表示され、「保護された通信」であることを示しています。一見、安全なサイトに見えますよね。

フィッシング攻撃に対する最も確実な防御策は何でしょうか?一般的には、ページが読み込まれた後にアドレスバーを確認し、有効なHTTPS接続で配信されているかどうかをチェックすることだとされてきました。私たちが長年信じてきた「常識」です。

しかし、答えはURLの中に隠されています。一見「apple」と読めるその文字列は、実はキリル文字(ロシア語などで使われる文字体系)の組み合わせなのです。人間の目ではASCII文字とほぼ見分けがつきません。

HTTPSの鍵マークが意味しないこと

セキュリティ証明書自体は本物です。しかしそれが保証しているのは、「そのドメインとの間に暗号化された安全な接続が確立されている」という事実だけです。あなたが今アクセスしているのが正規のサイトかどうかについては、何も教えてくれないのです。

Unicode文字は通常のASCII文字と極めて区別しにくいため、これがセキュリティ上の大きな抜け穴となっています。具体的な仕組みを見ていきましょう。

Punycodeフィッシング攻撃とは

多くのWebブラウザは、ホモグラフ(見た目が酷似した別文字)を悪用するフィッシング攻撃への対策として、URL内のUnicode文字を表現するために「Punycode」というエンコード方式を使用しています。Punycodeは、国際化ドメイン名(IDN)システムでサポートされる特殊なエンコード方式で、Unicode文字をASCII(A-Z、0-9)の限られた文字セットに変換するためにブラウザが利用します。

ところがこの仕組みには抜け穴があり、セキュリティ研究者はドメイン名「xn--80ak6aa92e.com」を登録し、保護機能を回避することに成功しました。このドメインは、Chrome、Firefox、Operaといった脆弱なブラウザでは「apple.com」と表示されてしまいます。一方、Internet Explorer、Microsoft Edge、Apple Safari、Brave、Vivaldiはこの影響を受けません。

一部のブラウザはこうしたトリックを警戒し、不審なドメインを検知すると、実際のドメイン名を表示するようになっています。典型的な防御手法は、複数の文字体系が混在するドメイン名を拒否することですが、ドメイン全体が同一の文字体系(例:すべてキリル文字)で構成されている場合、この防御は機能しません。

フィッシング攻撃から自分を守る方法

Firefoxユーザーは、以下の手順でPunycode表示を強制できます。

1. アドレスバーに「about:config」と入力してEnterキーを押します。
2. 検索バーに「Punycode」と入力します。
3. 「network.IDN_show_punycode」というパラメータが表示されます。
4. 該当行を右クリックし、「切り替え(Toggle)」を選択して値をfalseからtrueに変更します。

残念ながら、ChromeやOperaにはPunycodeによるURL変換を手動で無効化する設定が用意されていませんでした。当時のChromeユーザーは、この問題を修正した安定版アップデートの提供を待つ必要がありました(現在配信されている最新版のブラウザでは、この脆弱性はすでに修正されています)。

それでも残るリスクに備えるうえで、最も効果的な対策の一つが、優れたパスワード管理ツールの活用です。ブラウザ拡張機能付きのパスワードマネージャーは、ログイン情報を登録済みの正規ドメインに紐付け、そのドメインでのみ自動入力を行います。そのため、似た偽サイトに誤って認証情報を送信してしまうリスクを大幅に減らすことができます。

鍵マークや「保護された通信」の表示だけを信用せず、URLの文字体系にも注意を払う習慣が、フィッシング被害からあなたを守る第一歩となります。