要約

  • GACは10月26日のバリ声明で、契約当事者によるDNS不正対策義務の履行を業界全体で把握し、レジストリと登録事業者の措置を信頼できる再現可能な手法で測るよう求めた。
  • ICANNが公開する執行報告は苦情、調査通知、処理結果を数える。一方、2024年のレジストリ契約は定期的な技術分析と、発見した不正利用・対応措置の統計記録を求め、ICANNの要求時に提出させる。

苦情箱は自分に入ってきた紙を数えるのが得意だ。ICANNのDNS不正対策に関する執行報告も、その役目を丁寧に果たしている。外部からの申立て、調査につながった通知、証拠が足りず閉じた案件、解決理由が並ぶ。ところが10月26日のGAC声明が求めたのは、窓口の仕事ぶりより広い視界だ。レジストリと登録事業者が契約上の義務に従ってどのようにDNS不正利用を抑えたか、業界全体で見えるようにし、ICANNまたは別の主体が信頼できる再現可能な測定を行うべきだという。

まず数の単位が違う。ICANNの説明によれば、一件の苦情が複数のドメインを含み、フィッシングなど複数の不正類型にまたがることがある。類型別の件数を足しても苦情の総数にはならない。申立てを受けた段階、調査に進んだ段階、行動に使える証拠がある段階、案件を終えた段階もそれぞれ異なる。窓口の統計をそのまま事業者全体の対応率と呼べば、分母が消える。

契約上は別の記録も生まれる。2024年のレジストリ契約改定は、各レジストリに、自らのTLD内で契約上のDNS不正利用が起きているか定期的に技術分析し、発見内容と対応の統計を保管して、求められればICANNに渡すよう定めた。行動可能な証拠があれば、登録事業者への情報提供か自らの措置によって対処する。登録事業者の契約改定は、担当するドメインについて行動可能な証拠を得た際の迅速で適切な措置を定める。定期分析の条項はレジストリ側のものだ。

公開されている月次報告が追うのは、ICANNの窓口に届いた案件だ。レジストリの分析記録には、自ら見つけた事象とその対応も残る。フィッシングのリンクを受け取る人にとって大切なのは、受付票の枚数より、問題のドメインに誰が気づき、誰が止めたかだ。苦情が少ないという数字だけでは、素早く対処したのか、通報されなかったのか分からない。GACの問いに答えるには、どの事業者をいつ観測したか、どの証拠と措置を数えたかを明示する必要がある。

声明は事業者ランキングを決めていない。次に求められるのは測り方の設計図だ。発見、レジストリからの連絡、登録事業者の介入、結果を別々の欄で示せば、苦情箱の忙しさと現場の働きが見分けられる。被害を防ぐ仕事に付ける点数なら、まず仕事そのものを見なくてはならない。