「そもそもドメイン名って何？」
「このメール、怪しいかも…」と思ったときに、まず確認したいのがドメイン名ですが、「そもそもドメイン名って何？」「どうやって見ればいいの？」と思っている社員も中にはいるかもしれません。
インターネットを日常的に使っていれば、ドメイン名はいやというほど目にすることになりますが、もはや当たり前といえるほどに触れているが故に、ドメイン名とは何か？ということを考えることもなく、特に気にしたこともない。という人も少なからず存在します。
今回は、不審なメールを見破るための基本中の基本、「ドメイン名」の正体と、そのドメインが安全かどうかを見極める方法について、社員に対してどのように解説すればよいかをご紹介します。
✅ ドメイン名ってなに？
ドメイン名とは、インターネット上の「住所」のようなものです。
例えば、次のようなメールアドレスを見てみましょう。
このうち、**@マークの右側「example.com」**がドメイン名です。
これは、「このメールは“example.com”という名前のサイト（組織）から送られてきた」と言っているようなものです。
ウェブサイトのURLでも同じで、例えば、https://www.example.com/login というURLがあったとしたら、この中の「example.com」の部分がドメイン名です。
🛑 ドメイン名は「勝手に使えない」インターネット上の権利
ドメイン名は、**インターネット上で正式に登録された“固有の名前”**です。住所のように、一つのドメイン名は一つの組織や個人にしか割り当てられません。
たとえば、「amazon.co.jp」というドメイン名は、Amazonが正規に取得して管理しているもので、他の誰かが勝手に使うことはできません。ドメイン名を取得するには、ドメイン登録サービス（レジストラ）を通じて申請し、登録料を支払い、管理する責任を負う必要があります。
このため、全てのドメイン名については誰が取得し、管理しているのかが明らかとなっており、その情報も公開されています。
このように、正規のドメイン名は信頼性の証でもあるため、「誰がこのドメイン名を使っているか？」という視点で判断することが、詐欺を見破る重要なヒントになります。
🚨 ドメイン名でなりすましを見破る！
ただ、紙の手紙に差出人住所を偽って書くことができるように、メールを送信する際も差出人アドレスは偽ることができるため、技術的には有名企業や団体になりすましてメールを送ることが可能です。
しかし、最近はセキュリティ対策が進み、差出人アドレスを偽ったメールは届かないようになってきている会社も増えているため、攻撃者側の回避策として、本物そっくりの偽ドメインを使って送ってくることもあります。
例えば、以下のような違いにご注意ください。
| 本物のドメイン | よくある偽ドメイン |
|---|---|
| amazon.co.jp | amaz0n.co.jp（0が混ざっている） |
| microsoft.com | rnicrosoft.com（rとnでmに見せている） |
| rakuten.co.jp | rakutten.co.jp（二重文字） |
ぱっと見では気づきにくいですが、微妙に違うことがポイントです。
世間ではこのようなドメイン名のことを、ドッペルゲンガー現象になぞらえて、”ドッペルゲンガードメイン”と呼ぶこともあります。
👀 ドメイン名のチェック方法
メールの差出人アドレスは”なりすまし”によって偽ることができますが、リンク先のURLについてはインターネット上の住所（Webサーバーの場所）を表すため、見かけ上のドメイン名は偽ることができたとしても、実際のアクセス先となるドメイン名については、本物と同じドメイン名を用いることはできません。
このため、見かけ上ではなく、実際のリンク先のURLのドメイン名をチェックすることが、詐欺を見破る重要なポイントとなります。
このチェックを社員の誰もができるように、以下の2ステップで教えると効果的です。
【ステップ1】リンク先のドメイン名を確認する
メール内のリンクにカーソルを合わせると、画面の下や吹き出しにリンクのURLが表示されます。
たとえば、以下の図のように、メール内に記載されているURLは https://www.sibec.co.jp/ で始まっていますが、リンクにマウスカーソルを合わせると、図のようにealjmj82～といった全く異なるドメイン名のURLにリンクしていることがわかります。
この場合、見かけ上のURLドメイン名と、実際のリンク先のドメイン名が異なっているので、偽サイトへのリンクである可能性が大と判断できます。
💡URLの最初の「https://」と、次のスラッシュ（/）までの間がドメイン名です。
【ステップ2】信頼できるドメインか確認する
信頼できるドメイン名かそうでないかは、以下のようなポイントで判断できることを伝えましょう。
- 知っている会社の正しいドメインと一致しているか？
→ 「rakuten.co.jp」「mufg.jp」など、企業のドメイン名は公式サイトで確認できます。また、検索すればそのドメイン名の所有者が誰なのかも確認することができます。
- ドメインの後ろが変な文字列ではないか？
→.xyzや.topなど、信頼性の低いドメインが使われることも。日本の会社であれば、.co.jpや.jp、.comなどのドメイン名が使われることが一般的なので、ドメイン名の後ろがあまり見かけない文字列である場合は、偽サイトへのリンクである可能性が大と判断できます。
- 不自然に長すぎるドメインではないか？
→secure-login-update-authentication-support.amaz0n.co.jp.jp.comのように、長く複雑なドメインが使われていたら要注意です！一般的な企業であれば、長く複雑なドメイン名を使うことはありません。
🧑🏫 社員に教えるときのコツ
- クイズ形式で学ぶ：「このドメインは本物？偽物？」というワークをすると記憶に残りやすいです。
- 実例を見せる：過去に出回った詐欺メールの画像やURLを見せながら教えると効果的です。
- **「ドメイン＝発信者の名刺」**だと伝えると覚えてもらいやすいです。
ドメイン名はインターネット上の「住所」のようなものであり、現実世界では怪しい会社が入居している怪しい雑居ビルには近づいたりしてはいけないのと同様に、よくわからないドメイン名のURLにはアクセスしないというのが鉄則です。
ドメイン名を見れば怪しいかどうかが判断できること、また、どのようなドメイン名が怪しくて、どのようなドメイン名が本物だと判断すればよいのか？実例を元に社員に教えることは、セキュリティ教育の中でも、非常に優先度が高い事柄の一つといって良いと思います。
百聞は一見にしかずで、見方に慣れてしまえば、ドメイン名が怪しいかどうかはすぐに気がつきやすくなります。本物と偽物を普段から意識して見る習慣を持つよう誘導することがポイントです。
✨ まとめ
🔸 ドメイン名は「誰からのメールか？」を見極める鍵
🔸 差出人メールやリンクのURLをチェックして、偽装に注意
🔸 社員教育では、具体的な例やクイズで実践的に教えるのがポイント
🛡️ 不審なメールを見抜く力は、セキュリティの第一歩。
社員全員が「ドメイン名をチェックする習慣」を身につけることで、会社全体の防御力が高まります。
