URLがAppleのものに見えても、文字そのものが違えば別のサイトです。2026年10月14日に報じられた偽装ドメインの研究は、アドレスバーの目視だけに頼る難しさを示しています。対策は、公式アプリや確認済みのブックマークから開き、対応サービスではパスキーを使うことです。
「ちるライフ」のゆういちです。僕が気になったのは、URLをちゃんと見ても間違える可能性がある、という点でした。2026年10月14日に研究元と公式資料を調べ、何が起きたのか、普段のログインでどう備えるかを整理しました。
Appleのサイトが乗っ取られた話ではありません
今回の主題は、Appleの公式サイトへの侵入ではありません。有名なサイトに似た別のドメインを作り、ブラウザーがそれをどう表示するかを調べた研究です。見た目の似た入口へ誘導されることが、ここでの問題になります。
調査を公開したのは、偽装ドメインの検知サービス「Have I Been Squatted」。2026年10月3日付の研究記事で、実証用に20の類似ドメインを登録したと説明しています。登録数を、そのまま被害件数と読み替えることはできません。
Appleに似せた例のほか、OpenAIやSkypeなどを連想させる名前も対象です。ただし、研究者の実証と、犯罪者が実際に情報を盗んだ事件は別の話。このニュースだけで、自分のアカウントが流出したと判断する必要はありません。
そっくりな文字でも、コンピューターには別の名前
仕組みの土台にあるのは、英数字以外の文字も使える「国際化ドメイン名」です。日本語など、さまざまな言語で名前を付けるための仕組みですが、異なる文字体系に似た形があると、人の目では区別しづらくなります。
今回のAppleに似せた例では、名前部分の5文字がすべてキリル文字でした。特に最後の「ө」がポイントです。英語の「e」そのものではありませんが、文字の形や表示の大きさによっては、よく知る名前として読んでしまう余地があります。
こうした見た目の類似を悪用する手法は、ホモグラフ攻撃などと呼ばれます。普通の打ち間違いとは違い、読んだつもりの文字と実際の文字が違うのが厄介。文字の種類を知らないことが原因、と読者に責任を押し付けられる話ではないですね。
Chromeの対策があるのに、なぜ表示された？
Chromeは国際化ドメインを何でもそのまま表示しているわけではありません。紛らわしい文字の組み合わせなどを検査し、条件に当てはまると「xn--」で始まる英数字の表記に切り替えます。これはPunycodeと呼ばれる表現です。
研究では「ө」が、キリル文字だけで英字を装う名前を検出するための類似文字リストに含まれていない点が影響しました。さらに名前全体を比較する検査も通り、Chrome 154では紛らわしい表示が残り、類似URLの警告も出なかったと報告されています。
ただし、これは研究時の条件付きの結果です。僕の環境で再現試験をしたわけではなく、すべての端末や版で同じになるとは言い切れません。2026年10月14日の今回の確認では、この具体例について修正済みと判断できる公式情報までは確認できませんでした。
「xn--」やHTTPSだけで安全・危険を決めない
見慣れない英数字が並ぶと、かえって怪しく感じるかもしれません。でも「xn--」は、国際化ドメインを表すための仕組みで、詐欺専用の印ではありません。正規の多言語サイトにも使われるため、その有無だけでは判定できないんです。
また、HTTPSで接続できることも、運営者が本物である証明にはなりません。通信が暗号化されていても、接続先そのものが偽サイトなら、入力した情報は相手に渡ります。立派なロゴや整ったログイン画面も、それだけで信用する材料にはできません。
ニュースを読むときも、「偽装できる」という実証と「すでに被害が出ている」という報告は分けたいところです。表示の問題を知ることは大切ですが、見慣れない文字のサイトをすべて危険と決めつけるのも、判断を誤る原因になります。
| 目に入るもの | 分かること・分からないこと |
|---|---|
| 有名企業に似た名前 | 似ているだけでは、同じ運営者かどうかは分からない |
| 「xn--」から始まる表記 | 国際化ドメインの表現であり、詐欺と断定する印ではない |
| HTTPSの接続 | 通信の暗号化に関わる仕組みで、企業の本人証明ではない |
| ブラウザーの警告が出ない | その時点で警告されなかったというだけで、安全を保証しない |
パスキーは「文字を見破る」負担を減らせる
対策として挙がるパスキーは、パスワードを長くしたものではありません。端末に保管された暗号鍵などを使い、指紋・顔認証や端末のPINで利用を承認してログインする仕組みです。対応するサイトやアプリで、あらかじめ設定して使います。
大事なのは、パスキーが登録先のドメインに結び付いていること。見た目だけ似た別ドメインには、本物のサービス用のパスキーを使えません。人間が細かな文字の違いを見抜けなくても、認証の仕組みで接続先の違いを扱えるわけです。
ただし、偽ページに住所やカード情報を自分で入力する行為まで防いでくれるわけではありません。「パスキーが使えないのでパスワードを入力」と促されても、その場で切り替えないこと。普段と違う画面なら、いったん正規の入口へ戻るのがよさそうです。
ゆういち目を凝らす力だけに頼らなくていいのは、助かるポイントですね
メールのリンクを鑑定するより、いつもの入口へ
「支払いを更新してください」「アカウントを確認してください」と届くと、早く済ませたくなりますよね。そんなときこそ、メッセージ内のボタンを使わず、公式アプリや自分で登録したブックマークから確認する方法が役立ちます。
ブックマークは、正規サイトだと確認してから登録するのが前提です。届いた不審なリンクをそのまま保存しても、安全な入口にはなりません。ログイン用の入口を普段から用意しておけば、通知のたびに文字を見比べる負担を減らせます。
僕なら「本物っぽいから進む」より、いつもの入口で同じ案内が出ているかを見ます。メールの内容とアカウント内の表示が一致しない場合は、メッセージへの返信や記載番号への電話を急がず、公式の問い合わせ窓口で確かめたいところです。
- 確認の入口：公式アプリ、または正規と確認済みのブックマーク
- 入力前の判断：急がせる通知でも、まずサービス内のお知らせを見る
- 困ったときの連絡先：通知内の案内ではなく、公式サイトにある窓口
Chromeの更新と、入力してしまったときの動き
Chromeの更新は、今回の表示問題とは別に続けておきたい基本対策です。パソコン版では右上のメニューから「ヘルプ」→「Google Chromeについて」を開くと更新を確認できます。再起動が案内されたら、作業を保存して適用します。
セーフブラウジングも、危険なサイトやダウンロードへの備えになります。保護強化機能では追加の検査が行われますが、URLや一部のページ内容などをGoogleへ送る仕組みもあります。設定の説明を読んで選び、警告がないことを安全の保証にはしないでください。
もし偽サイトへApple Accountのパスワードを入力した可能性があるなら、正規の設定画面から速やかに変更し、2ファクタ認証も確認します。今回の教訓は、注意深さだけで頑張らないこと。まずはよく使うサービスの入口とログイン方法を一つ見直してみませんか。
