.gh・.sl・.asのccTLDのドメインハイジャック
- タグ
- 国外
Googleの2026年10月6日の発表によると、ガーナ（.gh）・シエラレオネ（.sl）・米領サモア（.as）の国別トップレベルドメイン（ccTLD）で攻撃者が権威DNSのレコードを書き換え、Googleの複数のドメインと他の組織のドメインを対象にした不正なHTTPS証明書を取得した［2］。.ghのレジストラのGhana Dot Comは、33のドメイン名に不正な変更があったと報告した［1］。
経緯
Googleは、発表の前の週にこの一連のドメインハイジャックを把握したと説明した［2］。Googleのシステムの侵害は伴わず、攻撃者は第三者のccTLDを侵害して、.gh・.sl・.asで終わるすべてのドメインを危険にさらしたとした［2］。証明書を発行した認証局（CA）については、攻撃の性質から、落ち度があったと考える理由は無いと述べた［2］。
Ghana Dot Comの10月9日の報告書では、権限の無い者がホスティングしているレジストラシステムへのログインに成功していたことを、認証ログで確認した［1］。不正な変更で、ネームサーバーはjoan.ns.cloudflare.comとpeyton.ns.cloudflare.comに変えられた［1］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | - | 9時34分から11時19分の間に、.ghのドメイン名に不正な変更が加えられた | ［1］ |
| 2026年 | Ghana Dot Com | 不審なウェブログインの警告を受け、レジストラシステムへの不正アクセスの疑いを調べ始めた | ［1］ |
| 2026年 | - | .ghのGoogleとYouTubeの名前の証明書がCTログに記録された | ［4］ |
| 2026年 | Ghana Dot Com | 12時57分までに侵害されたアカウントを回復し、14時18分までに不正なNSレコードを正規の値に戻してレジストリのデータの完全性を回復した | ［1］ |
| 2026年 | - | .slの証明書がCTログに記録された | ［4］ |
| 2026年 | - | .ghの証明書2件とZeroSSLの証明書1件が失効した | ［4］ |
| 2026年 | - | .asの証明書がCTログに記録された | ［4］ |
| 2026年 | - | 残る9件の証明書が失効した | ［4］ |
| 2026年 | Chromeの対応を発表した | ［2］ | |
| 2026年 | Ghana Dot Com | 報告書の公開版を公開した | ［1］ |
影響範囲
| ccTLD | 管理者 | 資料 |
|---|---|---|
| .gh（ガーナ） | Network Computer Systems Limited | ［7］ |
| .sl（シエラレオネ） | Sierratel | ［8］ |
| .as（米領サモア） | AS Domain Registry | ［9］ |
Ghana Dot Comは報告書で、不正なDNSの変更により、影響を受けたドメイン名を訪れた利用者が改ざんされたトップページに誘導されたと説明した［1］。影響は利用者によって異なり、正規のサイトに接続し続けた利用者もいれば、一時的に改ざんページに誘導された利用者もいた［1］。権限の無い者は、影響を受けたドメイン名の新しい有効なドメイン認証（DV）のSSL/TLS証明書を、認証局を通じて取得した［1］。
The Hacker Newsの記事によると、CTの検索サービスのctlogs.devとCert Spotterで、3つのccTLDのGoogleとYouTubeの名前に9月22日〜27日に発行された証明書が少なくとも12件〔注1〕見つかった［4］。対象はgoogle.com.gh・google.sl・google.asを含む7ドメインだった［4］。11件をLet's Encryptが、1件をZeroSSLが発行し、いずれもドメイン認証の証明書である［4］。9月10日以降の記録では、この3つのドメインのほかの証明書はすべて、GoogleのCAであるGoogle Trust Servicesが発行していた［4］。
iTnewsは、公開のCTログをChromeの遮断リストと照らし、9月22日〜27日に攻撃者に発行された32の証明書を見つけたと報じた［5］。CTログには複数の国際的なブランドの名前があり、それぞれの日に証明書の大半が90分の枠の中で発行された［5］。攻撃者はLet's EncryptとSectigoのZeroSSLの、ワイルドカード付きの無料のTLS証明書を使った［5］。別の大手テック企業のドメインでは、CloudflareのCAからも証明書を受け取った［5］。
対応と現状
Googleは、通常のインシデント対応として、Googleのサービス向けの不正な証明書の使用をChromeのCRLSetsで直ちに遮断したと説明した［2］。Chrome以外のクライアントの利用者を守るため、証明書を発行したCAと協力して失効を確実にした［2］。初期の緩和の後、Certificate Transparency（CT）ログのデータから、同じ攻撃の影響を受けたとみられる組織がほかにも判明し、その中には世界的な大手ブランドや広く使われるオンラインサービスが含まれていた［2］。それらの証明書もChromeで先回りして遮断し、可能な範囲で影響を受けた組織に連絡した［2］。
Googleの発表によると、Chromeの利用者は保護のために何もする必要がない［2］。DNSハイジャックの複雑さから、Googleの分析で影響を受けたすべてのドメインを特定したとは保証できず、Chromeの介入でChrome以外の利用者を確実に守れるわけでもないと説明した［2］。ドメインの所有者には、ブラウザ側の介入に頼らず、休眠中のドメインや地域のccTLDのドメインを含む保有ドメインのすべてでCTの監視を続けるよう勧めた［2］。.gh・.sl・.asのドメインの運営者には、最近のCTログに予期しない発行が無いか確かめるよう求めた［2］。
Googleは、ACMEのアカウントとの紐付けを含む制限的なCAAレコードの公開も勧めた［2］。CAAは進行中のDNSハイジャックの間の発行は防げないが、DNSの制御を取り戻した後の重要な安全策になると説明した［2］。CAは完了したドメイン制御の検証（DCV）をキャッシュして再利用できるため、制限的なCAAに戻せば、ハイジャックが終わった後に攻撃者がキャッシュされた検証の状態で新しい証明書を得るのを防げるとした［2］。
Ghana Dot Comの報告書によると、影響を受けた顧客には、不正な変更の間に発行された不正なSSL/TLS証明書を特定して失効させるよう助言した［1］。レジストラとして講じた措置には下に挙げる項目が含まれ、措置はそれらに限らない［1］。
- 全ユーザーアカウントの資格情報を更新し、二要素認証（2FA）の設定を再設定した［1］。
- 全ユーザーアカウントの役割と権限を剥奪した［1］。
- 悪意ある活動に関係するIPアドレスをファイアウォールで遮断した［1］。
- データベースとゾーンファイルの完全性の確認に関する管理策を追加した［1］。
- 影響を受けた顧客に連絡し、インシデントの報告を共有した［1］。
- レジストラシステムの監視と、インシデントの推移の監視を続けている［1］。
Let's Encryptの担当者は10月7日、Let's Encryptのコミュニティフォーラムのスレッドに投稿した［3、4］。The Hacker Newsは、担当者がその投稿で、GoogleとYouTubeの証明書が発行され、失効済みだと書いたと報じた［4］。初回の記録から失効までは最短で約一日半、最長でほぼ1週間だった［4］。10月7日には7ドメインのすべてが厳格なCAAレコードを持ち、Google Public DNSはGoogle Trust Servicesのドメインpki.googだけを挙げるレコードを返した［4］。
Tech Labariの10月12日の記事では、ドメインの取次事業者が.ghの登録を一時停止と表示している［6］。公開の参照データでは、.ghはDNSSECを使っていないとも報じた［6］。
未公表の事項
- .ghのレジストラシステムへのログインに使われた資格情報の入手経路と、.sl・.asのレジストリへの侵入の経路
- 攻撃者
- 不正な証明書がなりすましや利用者のデータの傍受に使われたか
- Ghana Dot Comが報告したドメイン名にGoogleのドメインが含まれるか
- Googleが名を挙げていない他の組織の名前と数
注
- 〔注1〕The Hacker Newsは、調べたのはGoogleとYouTubeの名前の一部だけで、総数はもっと多い可能性があると書いた［4］。
出典
当事者
- ［1］Ghana Dot Com Ltd『GH Domain Name Incident Report（Public Version）』（2026年10月9日公開）
- ［2］Google LLC『Chrome's Response to Recent ccTLD Registry Hijacks』（2026年10月6日公開）
関係組織
- ［3］Internet Security Research Group『Chrome's Response to Recent ccTLD Registry Hijacks』（2026年10月7日公開、保存記録のみ） 保存記録
報道機関
- ［4］The Hacker News『Attackers Hijack .gh, .sl, and .as Registries to Obtain Certificates for Google Domains』（2026年10月7日公開）
- ［5］nextmedia Pty Ltd『Attackers hijack ccTLDs to fake certs for Google』（2026年10月8日公開）
- ［6］Tech Labari『After Ghana's .gh Domain Hack, The Spotlight Falls Back On a Tense Fight Between "Father Of The Internet in Africa" and the State』（2026年10月12日公開）
背景資料
- ［7］Internet Assigned Numbers Authority『Delegation Record for .GH』（公開日不明、2026年11月4日閲覧）
- ［8］Internet Assigned Numbers Authority『Delegation Record for .SL』（公開日不明、2026年11月4日閲覧）
- ［9］Internet Assigned Numbers Authority『Delegation Record for .AS』（公開日不明、2026年11月4日閲覧）
更新記録
- 2026年10月12日：公開した。