銀行やショッピングサイトをまねて、ユーザーの個人情報を盗み取ろうとする「フィッシングサイト」。デザインをまねるだけでなく、インターネット上の住所表示に当たるドメインの情報までたやすく本物そっくりに偽装できる危険な手法が見つかり、ネットの仕組みを揺るがす欠陥の1つとして話題になっている。


「DNS キャッシュポイズニング（毒入れ）」と呼ばれてきた攻撃の新手法。ドメイン名の登録管理を手掛ける日本レジストリサービス（JPRS）が警告を発したが、この手法を強く懸念する中京大学の鈴木常彦教授は情報が不十分だとしてブログにより詳しく内容を紹介し、「キャッシュポイズニングの開いたパンドラの箱」と題して技術的な解説も公開している。

サイバー犯罪者がこの手法を悪用すれば、我々がブックマーク（お気に入り）に登録したニュースサイトや、検索して見つけたショッピングサイト、ブログの記事に貼られたリンク先まで、本物を開いたつもりが偽物にすりかわっているという事態が以前より容易に起こりうる。

ただし、最近注目を集めている OpenSSL の脆弱（ぜいじゃく）性と同じく、一般ユーザーができることはあまりなく、ネットのインフラを支える組織の対策を待つしかない。

ネット上の住所表示にあたるドメインの情報は、一部の大学や企業などが運営する DNS（ドメインネームシステム）サーバが管理している。ユーザーがふだんネットを使う際は、この DNS サーバがドメインの情報をもとに正しいサイトを案内している。

ドメインの情報は大量にあるため、複数の DNS サーバが分担して管理し、頻繁に参照し合っている。今回はこうしたやりとりの中にこれまでより容易に偽情報を流し込める手法が見つかった。権威ある DNS サーバが正しい情報をほかのサーバに送っても、簡単に偽情報に書き換えられるという。