10月は、米国ではサイバーセキュリティ啓発月間（Cybersecurity Awareness Month）、EU では欧州サイバーセキュリティ月間です。米国の機関 CISA による2026年のキャンペーン「Securing the Next 250」は、4つの基本ステップの筆頭に、フィッシング詐欺を避けて報告することを掲げています。EU では、欧州委員会が2026年9月30日に公表したユーロバロメーター調査で、従業員の4人に3人が、調査前の6か月間に職場で不審なメール、メッセージ、リンクに遭遇していたことがわかりました。
企業のウェブサイト、メール、顧客向けログインはその企業のドメイン名に依存しており、それらのドメイン名が乗っ取られるか、失われるか、偽装されるかは、5つの設定で決まります。
ドメインを管理しているのは誰か
レジストラのアカウントと登録者の記録を押さえている者です。したがって、各ドメイン名のロックと、その背後にある連絡先データの両方を確認してください。
ドメインに移管ロックはかかっているか
かかっているべきです。.com や多くの国別コード拡張子では、ドメインの公開記録でそれを確認できます。レジストラロックはステータスコード clientTransferProhibited として表示され、ICANN の説明によれば、これはドメインを別のレジストラへ移す要求を拒否するようレジストリに伝えるものです。clientUpdateProhibited と clientDeleteProhibited のコードは、変更と削除について同じ働きをします。
ロックの状態を公開していないレジストリもあります。たとえば .at の nic.at や .de の DENIC です。これらについては、移管がどのように承認されるのかをレジストラに確認してください。
レジストリロックは、さらに一歩進んだ保護です。serverTransferProhibited のように server で始まるコードはレジストリが設定するもので、一部のレジストリはこれをロックサービスとして提供しています。このロックは、レジストラがレジストリに依頼したときにのみ解除されます。保有するドメイン名のうちどれにレジストリロックをかけられるか、レジストラに確認してください。
確認するには、当社のWhois検索でドメインを調べてください。レジストリがステータスコードを公開している場合、一度に最大20件のドメイン名についてそれを表示します。次に、誰がロックを解除できるかを確認します。ICANN は登録者に対し、利用できる場合にはレジストラのアカウントで多要素認証を有効にするよう勧めています。
登録者と管理担当者の連絡先は正確か
連絡先には、ブランドを所有する企業の名称と、その企業が管理する住所や電話番号が記載されているべきです。EU のレジストリは、NIS2 指令を国内法化した各国の法律に基づき、こうしたデータの検証を始めています。2024年10月には、.eu について EURid が検証ポリシーを公表しました。また、オーストリアの NISG 2026 法は2026年10月1日に施行されました。.at の登録者は現在、メールアドレスに加えて電話番号を届け出なければならず、データの検証を求められた際には協力しなければなりません。
オーストリアのレジストリは、証拠の提出がない場合や遅れた場合にはドメインを削除することがあると警告しています。同レジストリの NIS2 FAQ によれば、21日以内にデータが検証されないドメインは serverHold の状態に置かれてウェブサイトとメールが停止し、さらに30日以内にデータが訂正されなければ取り消されます。
10月1日以降、nic.at は企業である登録者の電話番号とメールアドレスも whois で公開しています。これらは以前は企業が非公開にできたものです。そのため nic.at は、従業員個人のものより、代表のアドレスと番号を使うよう勧めています。
有効期限の通知や検証の依頼は、これらの連絡先に届きます。元従業員、代理店、子会社が保有しているドメインは、更新、移管、防御が難しくなります。また、連絡先のアドレスが属するドメインが失効すると、そのドメインを登録した者がアドレスを乗っ取ることができます。確認するには、公開 whois では登録者情報が伏せられていることが多いため、各ドメインの完全な記録をレジストラに請求し、登録者を企業の正式名称と照合してください。
ドメインの有効期限の通知は誰に届くのか
登録者のメールアドレスに届きます。汎用の拡張子については、ICANN の期限切れ登録回復ポリシー（Expired Registration Recovery Policy）により、レジストラは有効期限の約1か月前と約1週間前に少なくとも2回の通知を送らなければならず、ドメイン名が更新も削除もされていない場合には、有効期限後5日以内にもう1回送らなければなりません。これらはすべて、連絡先データにある登録者のメールアドレスに送られます。
有効期限の後、レジストラは1日から45日の自動更新猶予期間を設けることがあります。汎用ドメインが削除されると、レジストリは30日間の償還猶予期間（Redemption Grace Period）を設けなければならず、その間、登録者はレジストラを通じてドメインを復元できます。これには手数料がかかる場合があります。削除の前と償還期間中は DNS が停止されるため、ウェブサイトとメールは止まり、そのドメイン自体にあるメールボックスも使えなくなります。国別コードのレジストリは、独自のルールを定めています。
確認するには、使用中のすべてのドメイン名で自動更新を有効にし、有効な支払い方法を登録しておき、通知を別のドメインにある共有メールボックスに送るよう設定し、今後12か月の有効期限を一覧にしてください。
ドメインは偽装されうるか
はい。ゾーンが DNSSEC で署名され、すべてのドメインが SPF と DMARC を公開していない限り、DNS でもメールでも偽装されえます。
DNSSEC は有効で、今も一致しているか
レジストリが対応している場合は有効にし、レジストリにある DS レコードがゾーン内の鍵と今も一致している状態にしておくべきです。ICANN の説明によれば、DNSSEC がなければ、リゾルバーは DNS の応答が本物であることを検証できず、そのキャッシュを汚染した攻撃者は、利用者を自社サイトの複製へと誘導できます。
当社のDNSゾーンチェックは、レジストリにある DS レコードとゾーン内の鍵を読み取り、署名は検証せずに、両者が一致しているかどうかを示します。鍵がない、または異なる場合、DNSSEC を検証するリゾルバーではそのドメインを解決できなくなるため、DNS プロバイダーを変更するたびにチェックを実行してください。すべてのレジストリが DNSSEC に対応しているわけではありません。当社の対応方法はDNS 管理のページで説明しています。
今月は、DNS のルートにも節目となる日付がありました。ICANN は、ルートゾーンの新しい鍵署名鍵である KSK-2024 が2026年10月11日に署名を引き継ぐよう計画していました。ICANN の FAQ が説明しているとおり、この鍵（鍵タグ 38696）を信頼していないリゾルバーは、新しい鍵で署名された応答を改ざんされたものとして扱うため、すべての名前解決が失敗します。自社で検証リゾルバーを運用している場合は、ICANN のロールオーバーのページが求めるとおり、リゾルバーがこの鍵を保持しているか確認してください。
メールを送信しないものも含め、すべてのドメインでメール認証を設定しているか
設定すべきです。メールを送信しないドメインも、送信するドメインと同じくらい簡単に偽装されうるからです。SPF はそのドメインのメールを送信できるサーバーを列挙し、DKIM は各メッセージに署名し、DMARC は検証に失敗したメールをどう扱うかを受信側に伝えます。
英国の国家サイバーセキュリティセンター（NCSC）は、防御的登録だけではドメインは守られないと警告し、メールを送信しないドメインを先に保護するよう勧めています。いったん保護すれば、維持管理が不要だからです。NCSC は4つのレコードを挙げており、次の順序で設定します。
- 送信を許可するサーバーを指定しない SPF：v=spf1 -all
- 拒否ポリシーを設定した _dmarc の DMARC：v=DMARC1; p=reject（悪用を把握するためのレポート送付先アドレスも追加）
- ドメインにアドレスレコードはあるがメールサーバーがない場合は、Null MX レコード 0 .
- 任意で、空の鍵を持つワイルドカード DKIM レコード（キャッシュされた鍵をすべて失効させる）
メールを送信するドメインについては、NCSC の導入計画が、まずレポートを収集するだけの none ポリシーで DMARC を始め、正規の送信者がすべて検証に合格したら quarantine（隔離）に、その後 reject（拒否）に移行するよう示しています。ゾーンチェックでは、あらゆるドメインの SPF と DMARC のレコードを確認できます。DKIM の鍵はメールプラットフォームが設定するセレクターの下にあるため、そちらで確認してください。
今、何をすべきか
保有するすべてのドメインについて5つのチェックを行い、それぞれに再確認のきっかけを設定してください。
| 設定 | 確認方法 | 再確認のタイミング |
|---|---|---|
| 移管ロックとアカウントへのアクセス | レジストリが公開している場合は Whois のステータスコード、レジストラのアカウントの利用者と多要素認証 | アカウントにアクセスできる人が退職したとき |
| 連絡先データ | レジストラから取り寄せた完全な記録を、企業の正式な登記情報と照合 | 組織再編の後、およびレジストリから要請があったとき |
| 更新と有効期限 | 自動更新、支払い方法、通知先アドレス、有効期限 | 各有効期限の1か月前 |
| DNSSEC | ゾーンチェック：DS レコードがゾーン内の鍵と一致していること | DNS プロバイダーを変更するたび |
| SPF、DKIM、DMARC | ゾーンチェック、DKIM はメールプラットフォーム、DMARC レポート | 自社名義でメールを送信するサービスを追加または削除したとき |
Domgate は、ブランド所有者とその助言者のために国別コードドメインの登録と管理を行っています。SPF、DKIM、DMARC のレコードを公開し、DMARC ポリシーを段階的に reject へと移行させます。また、グローバルドメイン戦略の監査では、すべてのドメイン名を登録者、連絡先、有効期限とともに一覧にしたうえで、更新とセキュリティのルールを定めます。これには、拡張子がレジストリロックを提供している場合のレジストリロックも含まれます。
