要約

  • Interisleによると、2025年に作成された84,961,989件のgTLD名のうち、2026年5月18日までに8,496,811件が選定データのブロックリストに入った。観測された10%を下限とし、後日の掲載と関連ドメイン推定を加えれば1,680万件、20%に達し得るとした。
  • ICANNは、報告・掲載された名前と、措置可能な証拠を伴うDNS不正利用を区別する。報告統計は確認済み不正利用の上限であり、停止には通常、調査または裏づけが必要だとする。
  • 矛盾ではなく推定対象の違いである。観測件数は未発見の悪意ある登録を含む想定母集団より小さく、同時に契約上の定義と個別確認を通過する母集団より大きくなり得る。
  • 観測、分類、母集団推定、政策シグナル、個別証拠、権限ある措置という六つの状態を分離すべきだ。集計測定の受領票と、個別ドメイン措置の受領票を混ぜてはならない。

数字は一つでも、問いは一つではない

8,496,811というセルだけを表計算から切り出す。上に「下限」、下に「上限」と書けば、どちらかが誤っているように見える。同じ部屋の床と天井なら当然だ。しかし、ここで測られている部屋は同じではない。

Interisleが置いた分母は、2025年中に作成された84,961,989のgTLD名である。複数の専門的な評判情報源に加え、法執行、裁判、脅威調査の資料から構成したキャンペーン一覧を更新し、情報源内と情報源間で重複を除いた。2026年5月18日の時点で、その中の8,496,811件がデータに現れていた。複数の不正利用類型が付いた名前は各類型の列には現れ得るが、固有件数では一度だけ数える。

さらに、悪意ある目的で取得された名前と、後から侵害された正当な名前を分けようとした。攻撃者が使い捨て基盤として買った名前と、実在事業者の脆弱なサイトが乗っ取られた場合では、必要な対応が違うからだ。Interisleは、その基準により、リストに載った2025年作成名の約98%が悪意ある登録だったと判断した。

ここまでが観測と分類である。その先には二つの推計がある。まず、締切後にリストへ載る名前を見込み、2026年末までに比率が約12%、およそ1,010万件になると見積もる。次に、既知の種と同じ登録バッチに属するなどの関係から、まだ使われていない、または検出されていない関連名を拡張する。両方を合わせた1,680万件、20%は、報告書自身が投影値として示したものだ。

したがって、849万件、約1,010万件、1,680万件は同質の事実ではない。最初は日付と情報源を持つ観測・分類値、次は時間に関する仮定、最後は関係に関する仮定を追加した値である。議論はどの段階も検証できるが、見出しで三者を一つの「発見数」にしてはいけない。

ICANNが「報告」と呼び戻したもの

ICANNの8月10日の論点は、ブロックリストを無価値とすることではない。実際、Domain Metricaも評判情報源を使って、ドメイン市場の各部分で報告されたDNS不正利用がどう見えるかを示している。FAQは、それが報告というレンズを通した生態系の像であり、リスト掲載名が必ず不正利用事案になるわけではないと明記する。元の報告をICANNが作るわけでも、すべてを観測すると主張するわけでもない。

この限定は両方向に働く。リストにない名前が安全だとは限らない。リストにある名前が確認済みだとも限らない。予測的またはヒューリスティックな信号、侵害された正当サイト、ICANNの契約範囲を超える類型、追加の裏づけを要する項目が含まれ得る。報告集合から、適用定義に照らして合理的にDNS不正利用と判断できる集合へ進むと、母集団は縮む可能性がある。そこで報告数は上限になる。

一方、観測されていない悪意ある登録を含む潜在母集団へ進めば、観測数は下限になる。「選定情報源に現れた名前」「悪意ある登録と分類された名前」「実際に生じた全悪意登録」「契約上確認されたDNS不正利用」「停止が相当な名前」は別々の推定対象であり、単一の真値に対する言い換えではない。

この区別が失われると、数値は精密さを失うほど権力を得る。政策策定、登録事業者の評判、商取引、規制当局の関心、執行優先順位が、対象を失った割合に引っ張られるからだ。

選んだセンサーがランキングを作る

ICANNの2025年7月の分析は、ブロックリスト選択の効果を実例で示した。公開情報源だけ、商用フィードだけ、両者の組み合わせで計算すると、匿名化された一部TLDの順位が変わった。上位に残るものもあれば、大きく移動するものもある。観測された集中は、事業者の特徴だけでなくセンサー構成の特徴でもある。

OCTO-037は、RBLを目的との適合で評価する。件数は直接数えやすいが、掲載の鮮度、純度、メタデータの正確さは標本調査や代理テストを必要とする。捕捉範囲、再検査の慣行、運用品質は、一覧そのものから分からないことがある。あるネットワークの防御に有用な情報源でも、誤検知ごとに高い調査費用が発生する用途には不向きかもしれない。

不正利用の社会的範囲と契約範囲も一致しない。Interisleはフィッシング、マルウェア、ボットネットのほか、詐欺、スキャム、より広いスパムを扱う。サイバー犯罪者によるドメイン需要を研究するなら妥当な射程だ。被害者にとって、損害が民間調整機関の契約用語に入るかどうかは本質ではない。

しかし、公共的重要性がそのままICANNの執行権限になるわけではない。2024年のグローバル改正は、該当契約上のDNS Abuseをマルウェア、ボットネット、フィッシング、ファーミング、そして列挙された害を届ける手段としてのスパムと定義した。コンプライアンス勧告は、措置可能な証拠を受けたレジストラとレジストリの義務を役割ごとに説明する。あらゆる社会的害を同じ契約類型へ変換する規定ではない。

参考文献名だけでは再現できない

Interisleは関連ドメインの推定がICANN OCTOのバッチ登録手法と共通点を持ち、悪意ある登録の分類がCOMARに似ると述べる。ICANNは、引用した手法との差分が十分に示されていないと応じた。ここで必要なのは権威の引用ではなく、実装の差分である。

ICANNのバッチ研究は、レジストラ、権威ネームサーバー、作成時刻を用いて時間的にまとまった登録を組み、既知RBLの種がバッチ内にどう存在するかを調べた。共起の信頼性が低いとして10未満のクラスタを除外し、異質な集団やリセラー処理の影響を含み得るとして1,000超のクラスタを詳細分析から外した。検証用のグラウンドトゥルースは協力した一社のレジストラから得られ、より広いアカウント保有者情報はレジストラとレジストリに分散している。

研究は、バッチ推論により新規登録RBLドメインを80%拡張したと報告する。同時に、関連性だけでは新しい帰属を与えないこと、攻撃者がグループ化の前提を回避できること、運用には改良と最低証拠閾値が要ることも述べた。後続研究がクラスタ境界、時間窓、除外、分母を変えるのは可能だが、その変更が書かれなければ結果を比較できない。

COMARも同じ教訓を持つ。38の公開データ特徴を用い、標識済みフィッシング・マルウェア集合で悪意登録と侵害済みドメインを区別し、97%の精度と2.5%の偽陽性率を報告した。強い試験結果だが、後のあらゆるデータに継承される保証ではない。論文は手動ラベル、コンテンツ取得失敗、回避、ドロップキャッチ、正当な履歴や改ざんホームページによる誤誘導も記録する。

方法名は系譜を示す。再現性を作るのは、何を維持し、削り、調整し、解釈し直したかを示す版管理された差分である。差分がなければ、データ、定義、実装、推論のどこで意見が分かれたか判定できない。

六つの主張状態

共有すべき最小構造は、万能の検出モデルではなく、主張がいま何であるかを示す文法である。

状態 記録が示せること 黙って置き換えてはならないもの
観測 特定の名前またはURLが、特定時点に指定情報源へ現れた 悪意ある意図の証明
分類 版管理された規則やモデルが類型、関連性、信頼度を付した 無謬のラベル
母集団推定 観測と推論が分子、分母、幅、投影を生成した 裁定済み事案の件数
政策シグナル 集計が明示された政策課題に関連する 一つのドメインに措置を取る権限
個別証拠 適用定義により特定名を調査または裏づけた 誰がしたか不明な決定
権限ある措置 責任主体が有効な手段と相当な対応を適用した 通知、再審査、訂正履歴の消去

状態間の移動は必要である。集計証拠は政策課題を立ち上げ得る。フィード掲載は調査の優先順位を上げ得る。契約当事者は別の証拠を受領し得る。ただし移動のたびに、追加証拠、判断主体、権限根拠を残さなければならない。最初の観測が最後の決定を内包していたという物語は不要だ。

測定の受領票

重要な数値には、対象、単位、観測期間、締切、情報源集合、可視性の限界、不正利用の定義、採用・除外・重複排除規則、分類器と版、関連・拡張手法、分子と分母を添える。そして観測、推論、投影を別欄にする。

不確実性は方向も記す。見えない活動があるなら、ある潜在母集団に対して低い可能性がある。未確認または権限外の報告を含むなら、別の確認済み母集団に対して高い可能性がある。両方が真であり得る。対象のない幅は不確実性の説明ではなく装飾である。

用途も明示する。「集計トレンド分析向け」「個別調査の開始に利用可能」「停止に十分」は別の許可だ。訂正IDと手法変更履歴により、新版が旧版を置き換えたとき、下流のランキングや政策資料まで修正を届ける必要がある。

機密フィード、個人データ、攻撃者に回避を教える閾値を公開する必要はない。共有できない入力でも、種類、選定論理、ハッシュ、監査の預託経路、情報源を外した際の感度は提示できる。再現可能性と秘密の全面公開は同義ではない。

措置には別の受領票が要る

個別措置の記録は、集計受領票の終点から始まる。事案、適用契約類型、責任当事者、個別証拠、裏づけ状態、悪意登録か侵害か未解決かを記す。調査者と決定権者、措置の範囲と相当性、通知、エスカレーション、異議、訂正、復旧を保存する。

二つの受領票をつなぐ文は明快でよい。集計上の掲載、関連付け、母集団推定は、政策に用いられたというだけで、個別ドメインの措置可能な証拠にはならない。同じ報告に個別証拠もあるなら、その証拠を固有の条件で個別記録へ入れる。

この境界は抑制だけでなく、行動も守る。明確に裏づけられたフィッシング事案は、市場全体の割合を巡る議論を待つ必要がない。市場集中の兆候も、全件が裁定されていないからといって捨てる必要はない。二つの仕組みは違う問いに違う速度で答える。

証拠が自ら権限を名乗るとき

Lu Hengによるマルチステークホルダーの委任批判は、この論争にも通じる。参加は証拠、専門性、警告、技術的規律をもたらす。しかし、参加者を、影響を受ける全員を拘束する本人へ変えるわけではない。測定にも同じ誘惑がある。大きなデータ集合は選挙区に見え、モデルは決定者に見え、ダッシュボードは命令に見える。

Interisleは自らの研究と主張を管理する。ICANN OCTOは自らの測定と技術文書を管理する。GNSOは所定の手続で政策を開発する。Contractual Complianceは採択された文書の範囲で義務を評価する。レジストラとレジストリは異なる運用情報と責任を持つ。裁判所と公的機関は別の法に基づく。証拠は移動できるが、同じドメインを引用しただけで権限が融合することはない。

薄い共通層に必要なのは、主張状態、出所、手法差分、訂正、引き渡し条件である。それ以外の手法は各現場で競争してよい。中央モデルによる一貫性は集中した誤りを生み、完全に非互換な語彙は検証を不可能にする。境界だけを標準化する方が、分散した責任構造に合う。

勝敗ではなく比較可能性を作る

次に必要なのは、10%と20%に新しい形容詞を付けることではない。849万件の観測集合について、各フィードの寄与と重複、キャンペーンの追加、除外、悪意登録と侵害の分類、分母、締切を再現できる形で示すことだ。20%の投影は、後日掲載の上積みと関連ドメイン拡張を分け、異なる前提に対する感度を示すべきである。

ICANN側も、どの比較なら規模認識を変えるのか、どの異議が実証上の頻度ではなく権限範囲に属するのかを示す必要がある。そうすれば、権限がないことを現象がないことと取り違えず、規模の大きさを直ちに個別の契約違反と取り違えずに済む。

最終的に合意しなくてもよい。説明責任とは、全観測者に一つの数を言わせることではない。それぞれの数が何を証明し、何を証明せず、誰がどの目的で使え、害を与える前にどの記録が追加で要るかを残すことである。

床と天井のどちらかを消す必要はない。制度が設計すべきなのは、その間を安全に移動する階段だ。

出典

  1. ICANN「Looking Beyond the Numbers: Understanding Malicious Domain Registration Data」
  2. Interisle Consulting Group「Malicious Registrations in the Domain Market」
  3. ICANN、Domain Metrica FAQ
  4. ICANN「How Choice of Reputation Blocklists Affects DNS Abuse Metrics」
  5. ICANN OCTO-037v2「RBL Evaluation Methodology」
  6. ICANN OCTO SSR「Detecting Malicious Domain Registration Batches: Patterns, Prevalence, and Security Implications」
  7. Maroofiほか「COMAR: Classification of Compromised versus Maliciously Registered Domains」
  8. ICANN、DNS不正利用義務の遵守に関する勧告
  9. ICANN、2024年グローバル改正
  10. ICANN、DNS不正利用軽減プログラム
  11. Lu Heng「The Multi-Stakeholder Mirage—How the Multi-Stakeholder Model Turned Attendance Into Mandate」