NTTドコモのドメイン名オークション出品事例を教訓に考える“ドメイン終活”の在り方：約700のドメインを利用組織ごとで運用、廃棄ルールは形骸化

近年、利用してきたドメイン名を廃止したところ、第三者に悪用されるというケースが複数報告されている。2024年11月に開催された「JPAAWG 7th General Meeting」では、NTTドコモの三浦未来氏と日本DNSオペレーターズグループ／NTTコミュニケーションズの髙田美紀氏が登壇。利用を終えたドメイン名の廃棄などライフサイクル管理をテーマに講演した。

[高橋睦美，＠IT]

　大規模イベントを開催したり新しい事業やサービスを立ち上げたりする際、「ドメイン名」を新規に登録するケースがある。その背景には、認知度向上や、多くの人にアクセスしやすくしてもらうなどさまざまな目的があるわけだが、果たしてそのドメイン名は、いつまで利用するつもりだろうか？

　近年、利用してきたドメイン名を廃止、廃棄したところ、第三者に登録され、全く別のWebサイト、特にフィッシングサイトや詐欺サイトに転用されてしまうケースが相次いで報じられている。

　何も知らず、以前のサービスのつもりでアクセスしてきたユーザーが被害に遭う恐れがある上に、そのドメイン名でサービスを提供していた企業、組織そのもののブランド毀損（きそん）につながりかねない事態だ。しかも、一度手放したドメイン名を取り戻すには、新規にドメイン名を取得する場合よりも高額の費用がかかる場合もある。

　こうした事態を防ぐため、ドメイン名の「終活」や、そもそも「本当にそのドメイン名を登録する必要があるのかどうか、長年所有するコストを払う価値はあるのかどうか」を、一歩立ち止まって考える必要がある。

　2024年11月に開催された「JPAAWG 7th General Meeting」では、ドメイン名のドロップキャッチ未遂に遭遇したことをきっかけに社内のドメイン名管理体制の整備を推進したNTTドコモの三浦未来氏（情報セキュリティ部 CSIRT）と、この数年、ドメイン名の「終活」の必要性を訴えてきた日本DNSオペレーターズグループ（DNSOPS.JP）／NTTコミュニケーションズの髙田美紀氏が、ドメイン名のライフサイクル管理をテーマに講演した。

とあるサービスで利用していたドメイン名がオークションに――判明当時を振り返る

NTTドコモ 情報セキュリティ部 CSIRT 三浦未来氏

　三浦氏はNTTドコモでCSIRT（Computer Security Incident Response Team）としてインシデント対応に当たり、その経験を踏まえて各種課題への対応や新規ルールの策定などに取り組んできた。ドメイン名管理体制の整備もその一つだ。

　ドメイン名管理を見直すきっかけとなった事件は、2023年9月に起きた。2021年にサービスを終了したウォレットサービスで使われていたドメイン名がオークションに出品されていた。三浦氏は「出品が話題になったのは日曜日のことでした。さわやかな休日でしたが、上司から電話がかかってきて緊急会議に招集され、そこからいろいろと対応していきました」と判明当時を振り返った。

　そのドメイン名とひも付けられていたサービスは、「d払い」に統合された後、2021年にサービスを終了。サービスを提供していた事業部は、ドメイン名へのアクセス数低下を確認した上で、「このドメイン名はもう不要だ」と判断し、放棄することにしたという。だが三浦氏は「これは、NTTドコモの社内ルールに照らし合わせると正しくない対応でした」と振り返る。

　インターネット上で「第三者の手に渡ればフィッシングサイトに悪用されるのではないか」といった懸念の声も上がる中、紆余（うよ）曲折を経て、そのドメイン名は最終的にNTTドコモの管理下に戻ることになった。だがこの一件を機に、NTTドコモはあらためてドメイン名の管理体制を見直すことにしたという。

20種類のレジストラで約700のドメイン名を利用組織それぞれで運用　廃棄ルールは形骸化

　NTTドコモは多数のサービスを展開しており、社内の約160組織が約700個ものドメイン名を取得し、運用している。利用しているレジストラ数も約20種類に上り、かなり大規模に利用しているといっていい。

　「当時は、利用組織側でドメイン名を任意のレジストラから取得して維持することが慣例となっており、全体を管理する体制はありませんでした」（三浦氏）。一方、廃棄に関しては「ドメイン名を手放す際は、情報セキュリティ部にドメイン名を移管する」というルールは定められていた。だが「このルールが社内に浸透しているとは言えない状況でした」と三浦氏は説明した。

　ドメイン名を巡る事件を通して、「ドメイン名の管理が各組織に委ねられており、全体が見えている人がいない」「ルールが浸透していない」、そして「そもそもドメイン名は重要な資産であるという意識が欠如していた」という3つの課題が浮かび上がった。NTTドコモはこの反省を踏まえ、ドメイン名管理の方針を策定し、対策に着手した。

情報セキュリティ部が主導し、ひとまず「永続的に保持」の方針で一元管理化

　そもそもドメイン名の管理はいったいどこの部署が行うべきだろうか。会社によって、IT部門、あるいはブランドを管理する知財部門などが行うケースもあるだろう。

　NTTドコモの場合は、ドロップキャッチ未遂が判明して急ぎの対応が必要だったこともあり、ひとまず情報セキュリティ部が統括することとした。そして「ドメイン名は永続的に保有する」という方針を立て、3つの課題それぞれに対策を進めていった。

　まず、各組織に委ねられていたドメイン名の管理は、事業組織にドメイン名を持たせない方針に転換。既存のドメイン名を地道に一つずつ棚卸しして、全てのドメイン名を情報セキュリティ部に移管した。

　さらに、「新規にドメイン名を登録する際は、『docomo.ne.jp』などの既存ドメイン名のサブドメインを利用する」ことをルール化した。新規ドメイン名がどうしても必要な場合には情報セキュリティ部に申請し、情報セキュリティ部側で登録したドメイン名を利用組織に貸し出すという流れだ。ただ、その後のドメイン名の管理、維持は、ネームサーバや証明書も含め、利用組織が対応している。

　2つ目の「ルールが浸透していない」課題に対しては、ドメイン名の管理に関するマニュアルを新たに作成し、eラーニングも活用して社内周知を徹底的に実施した。並行して情報セキュリティ部でwhois情報を定期的に確認し、NTTドコモのドメイン名と思われるもの、つまりルール違反を見つけ出す取り組みも行っている。

　3つ目の意識改善については、リスクが低いと思われる社内検証用も含め、情報セキュリティ部がドメイン名を登録するというルールを徹底した上で、「何かあったら、まずは情報セキュリティ部に相談を」という意識の醸成に向け、さまざまな場で啓発活動を展開している。

　「これまでは、ドメイン名を気軽に登録できてしまっていたところがありました。そこにストップをかける取り組みを進めています」（三浦氏）

　取得したドメイン名の扱いは、基本的に廃止せず、永続的に保持することとした。「われわれは、ドメイン名のお墓の管理人として活動している状況です」（三浦氏）

永年保持だと、ドメイン名更新コストが課題

　こうしてNTTドコモでは2023年の事件を機に、1年半かけて、社内のほとんどのドメイン名を情報セキュリティ部の管理下に置くことができた。社内のあちこちから「新規のドメイン名を取りたいです」「実はこんなドメイン名を持っているのですが」といった相談が多数寄せられるようになり、ルールが一定程度浸透してきたことも実感しているという。

　「われわれが直接働きかけなくてもこういった動きが出てきており、一定の効果はあったかなと受け止めています」（三浦氏）

　ルールを策定し、関連するドキュメントを整備したことで、この先人が入れ替わっていったとしても、ドメイン名登録申請のワークフローの中で「一度立ち止まって考えるポイント」が設けられることになり、今後もある程度機能していくと期待している。

　「一番苦労したのは、既存のドメイン名を情報セキュリティ部に移管するところでした。契約書も含め、作業ボリュームが非常に大きいのもさることながら、ドメイン名を登録していた全ての部署に協力していただく必要がありました。事業部に丁寧に寄り添って、一つずつ対応していきました」（三浦氏）

　中には、「何でこんな対応が必要なのか」と、あまり協力的ではない担当者もいたというが、泥臭く丁寧に対応していくことで、ほぼ移管は完了したという。

取り組みで一番苦労したこと（三浦氏の資料より）

　次の課題はこの先だ。ひとまずドメイン名は永続的に保有するとしたものの、毎年更新料がかかるのも事実だ。

　そこで今後、ドメイン名を廃してもよい条件を明確にし、「ドメイン名廃止ルール」を策定していければと考えているという。全てのドメイン名を一律に扱うのではなく、検証用などリスクの低いドメイン名は管理レベルを少し落とすことも検討したいという。

　三浦氏は、痛い目に遭ったNTTドコモの経験をぜひ他山の石とし、「自組織のドメイン名の管理の在り方を検討いただければと思います」と呼び掛け、講演を終えた。

どこで判断し、どう進める？　ドメイン名の「終活」

　NTTドコモの取り組みでも分かるように、ドメイン名の「廃止」はこれからの課題だ。

日本DNSオペレーターズグループ／NTTコミュニケーションズ 髙田美紀氏

　ドメイン名に限らず、物事をスタートするときに比べ、「後始末」は忘れられがちだ。そうした中、DNSOPS.JPではこの数年、複数のイベントを通してドメイン名の「終活」の必要性を訴えてきた。

　「安易にドメイン名を廃止するとドロップキャッチされ、フィッシングサイトや詐欺サイトになってしまうことがあります。『あのサービスのサイトが詐欺サイトになっているよね』と話題にもなります。サービスやサイトには適切な『終活』が必要です」（髙田氏）

　そして何よりも、「まず、ドメイン名の使い捨てはやめましょう」と髙田氏は訴えた。

　「新たなドメイン名を登録する際には、コーポレートドメインのサブドメインでもいいのではないか、あるいはすでに利用しているドメイン名でもいいのではないかなど、一歩立ち止まって考えてほしいと思います」（髙田氏）

　ひとたびドメイン名を登録すれば、運用し続けるコストに加え、終活のためのコストも必要になる。「これらのコストを払うに値するのかどうかを、サービス開始時にしっかり考えてから登録しましょう」と髙田氏は呼び掛け、その上で、終活のプロセスはどうあるべきかを説明した。

　ドメイン名を登録すると、ネームサーバへの登録、A/AAAAレコードの登録などを経て、サービスインすることになる。逆に、サービスを終了する際は、その旨を案内したり、あるいは新ドメインへのリダイレクトをするページを作成したりして、アクセス／流入が減るよう誘導する。もしメールを運用していれば、メールを受け取らないように「Null MX」を設定し、ようやくドメイン名は「休眠」に入ることになる。

　休眠とは、「そのドメイン名での活動はできるだけしない期間」と表現できる。この時点でNSレコードも削除し、一切の活動をやめてしまって「廃止」する場合もある。休眠から廃止に至るプロセスでは、「Webのアクセスログを永続化しておき、接続元のIPアドレスやリファラ、ユーザーエージェントなどの情報を集めておくと、その後の解析に役立ちます」と髙田氏はアドバイスした。

　また、休眠中のドメイン名へアクセスが流入しないようにする作業も必要だ。検索エンジンそれぞれの方法に沿って削除を依頼したり、Webアクセスログのリファラを活用し、被リンクサイトを調べてリンクの削除／変更を依頼したりする。「少なくとも、自社内のリンクはつぶしておきたいものです」（髙田氏）。

　そして忘れがちだが、ドロップキャッチと組み合わせて偽サイトに悪用される事態を防ぐため、web.archive.orgをはじめとするアーカイブサイトからのコンテンツ削除も進めるべきだとした。

　こうした作業を済ませ、流入がいよいよ少なくなってはじめて、ドメイン名登録事業者との契約を終了し、そのドメイン名を誰でも登録できる状態、すなわち「廃止」を行うことになる。

　「三浦さんの話にもあるように、一度登録したドメイン名を廃止せず、ずっと保持する案もあるとは思います。ただ、ドメイン名の維持にはコストがかかります。また、そもそもドメイン名はインターネットの名前空間であり、全ての企業が永年保持するのはインターネット全体の健全性に影響する可能性があります」と髙田氏は指摘し、どうすればうまく廃止できるか、幾つかアドバイスを紹介した。

　ここで重要になるのがWebのアクセスログやDNSのクエリログだ。Webの訪問者数やPV（ページビュー）、UU（ユニークユーザー）数に加えDNSクエリの数や検索元を確認し、一定期間にわたり低下しているかどうか、それともそれほど減っていないかどうかを確認する。もし減少していなければ、どこかから参照されている可能性が高いため、ログを基に被リンクサイトを調べ、削除を依頼していくことになる。

　ただ、「削除」の判断基準は難しい。クローラーによるアクセスもあり、アクセスがゼロになることはほぼないため、「『1日当たりのWebへのアクセスが10未満になった場合』や『DNSのクエリ数が100未満になった場合』というように、廃止の判断基準を作っておき、一定期間にわたってそのしきい値を超えたら廃止タイミングと判断するのもいいでしょう」と髙田氏は述べた。

　「お金」への考慮も必要だ。「休眠状態でも、ドメイン名の更新費用、証明書の更新費用、DNSサーバ、Webサーバの運用費用といったお金がかかります。廃止に向けてログを収集し、分析する費用もあり、これらが数年単位で必要になるため、あらかじめサービス終了までにかかる費用として予算を計上しておくことも大切です」（髙田氏）

　こうしたアドバイスを踏まえ、あらためて「ドメイン名の安易な登録はリスクを高めるだけでなく、コストもかかります」と呼び掛けた。

ドメイン名のライフサイクル（髙田氏の資料より）

　会場には多くの聴衆者が詰めかけていたものの、自社のドメイン名管理をしっかり実施しているところはまだ少数派だった。中には「DMARC対応を見据えてドメイン名の棚卸しに取り組んだものの、担当者を見つけ出すだけでも一苦労だ」という声も上がっていた。

　他には、IT担当者だけでなく、経営層にも「安易なドメイン名登録は避けるべきで、きちんと終活が必要であること」を周知する必要性を訴えたり、資産としてのドメイン名の重要性を認識してもらうため、「登録」ではなく「生む」という言葉に言い換えたりしてみては、といったさまざまなアイデアも寄せられていた。

　「終活を適切に実施することは、ブランド毀損やセキュリティのリスクを下げるだけでなく、CSR（Corporate Social Responsibility：企業の社会的責任）にもつながります。登録したドメイン名のライフサイクル管理を、それぞれの段階で適切に進めることが重要です」（髙田氏）。そして、限りあるインターネットの名前空間を適切に使い、適切に終活を行い、「ドメイン名の利用は計画的に」と呼び掛けた。