要約

  • OCTO-044は2025年の1週間にわたるgTLD標本について、複数の手法を合わせると、評判リスト上の種ドメインの56.4％に少なくとも一つの関連ドメインが見つかったと報告した。これは標本内の検出率であり、全ドメインの割合でも、共通の名義人を示す証拠でもない。
  • 調査は公開された登録・DNSの技術情報を使った。ICANNは、名義人やアカウント保有者の真値データによる検証はできず、プライバシーを保った評価には登録事業者との継続的な協力が必要だとしている。

ICANNは10月6日、最高技術責任者室（OCTO）の報告書『Associated Domain Analysis Using Public Data』（OCTO-044）の公開を発表した。最も目を引く結果は56.4％だ。分析期間の1週間に、評判に基づくブロックリストの種ドメインのうち、この割合が少なくとも一つの近接ドメインと関連付けられた。

この数値が示す範囲は限られている。種となったのは、フィッシング、マルウェア、ボットネットのコマンド・アンド・コントロールに関係するgTLDで、複数のリストに初めて載った期間は2025年9月24日から30日まで。掲載時点で登録から6カ月以内のものに絞られ、1日当たり約4,000件が標本に入った。全新規ドメインに占める不正利用の比率でも、現在の市場全体を測った結果でもない。

OCTO-044が使うのは、登録事業者の識別情報、権威DNSサーバー、登録時刻など、観察できる技術的特徴だ。一つの手法では、共通のIPv4アドレスとネームサーバーの組み合わせも見る。数秒または数時間の間隔で登録された名前や、共通インフラで解決される名前をまとめ、最後に文字列の類似性で候補を絞る。手法同士は重複するため、個別の検出率である約16％（一括登録）、33％（大量登録）、18％（大量解決）を足し合わせてはならない。

「関連」の意味を取り違えないことが、この結果の核心だ。ここでの関連は技術情報から推定した結び付きで、誰が名前を保有し、運用し、どんな目的で登録したかを特定するものではない。ICANNは、大量登録にはブランド防御、広告ネットワーク、トラフィック分散など正当な用途もあると指摘する。共有インフラが誤検出を生む可能性があり、文字列の類似性を厳しく見ることで本当の関連を取り逃す場合もある。

この研究は、検出されたグループを名義人やアカウント保有者の真値データと比較していない。報告書によれば、その個人データは通常、登録事業者や一部のレジストリが保有しており、ICANNには参照する手段がない。プライバシーを守る包括的な評価には、ICANNと登録事業者の継続協力が必要だという。これは今後の検証課題であり、手法が誤っている証拠ではない。ただし、調査の手掛かりを所有者の特定とみなすことはできない。

早期検出の数字にも同じ注意が要る。報告書が想定した現行の収集・日次処理では、評判リストへの掲載より先に検出されたのは標本全体の4.6％だった。データを30分で処理できるという仮定を置くと、モデル上は10.0％に上がる。後者は実運用で確認された結果ではない。登録データの到着に数日かかる場合があり、一部は週次更新だと報告書は説明している。

ICANNは今後、結果の検証、処理遅延の縮小、関係者への情報配布に取り組むとしている。その進展があって初めて、遡及的な基準値を超える実用性が見えてくる。現時点で言えるのは、公開データを用いて大規模に調査対象のグループを見つけられるということまでだ。各グループが同一名義、同じ不正目的を共有することや、停止の根拠になることは証明されていない。

出典：