トップ ＞ テクノロジー

「apple.com」そっくりのキリル文字URL、Chromeの偽装対策を通過

内容

何が見つかったのか

偽装ドメインの検知サービスを手がける研究者が、Google Chromeの偽装対策を通過してしまうURLを実際に作って確かめました。ギズモード・ジャパンが「『apple.com』に見えて実はキリル文字」という見出しで伝えています。

研究者が登録したのは「аррӏө.com」というドメインです。英字の「apple」に見えますが、5文字はすべてキリル文字です。キリル文字はロシア語などで使われ、英字の「a」「p」「l」とよく似た形の文字があります。見た目はそっくりでも、コンピューターは英字とは別の文字として扱います。そのため、本物とは別のサイトのアドレスとして登録できてしまいます。

なぜChromeは見抜けなかったのか

Chromeには、本物と紛らわしい文字を含むURLを「xn--」で始まる英数字に置き換えて表示する仕組みがあります。見た目で人をだますURLだと気づけるようにするためのものです。

今回の決め手になったのは、最後の「ө」という文字です。カザフ語などで使われる文字ですが、Chromeが警戒する文字のリストに入っていませんでした。このため、URL全体を本物と比べる別のチェックも通過しました。研究者がChrome 154で確かめたところ、「аррӏө.com」は置き換えられずにそのままアドレスバーに表示され、似たURLへの警告も出なかったということです。

研究者はAppleのほかにも、OpenAI、Skype、SpaceX、Nikeなど、実在する企業やサービスに似せたドメインを合わせて20個登録しました。このうち一部も、偽装対策を通過して本物に近い見た目で表示されることが確かめられています。

被害は出ているのか

今回のドメインは、研究者が調査のために登録したものです。同じ手口が実際のフィッシング詐欺に使われたかどうか、被害が出ているかどうかは、現時点で明らかになっていません。Chrome側の対応についても、現時点で明らかになっていません。

利用者はどう身を守ればよいか

見た目の似た文字を使って本物のサイトに見せかける手口は、以前から知られています。ただ今回のように、URLをよく確かめても見分けられない場合があります。

研究者が対策の一つとしてすすめているのが、パスキーを使うことです。パスキーは登録したサイトのドメインと結びついています。そのため、本物そっくりの偽サイトを開いてしまっても、正規サイト用のパスキーではログインできません。

注目ポイント

Chromeは多くの人が毎日使うブラウザーで、Appleなどおなじみの企業名が偽装の例に挙がったことから、身近な問題として関心を集めています。「URLを確認すれば安全」という基本的な対策が通じない場合がある点も意外に受け止められています。警戒する文字のリストに入っていない文字がほかにもあるのか、ブラウザー側がどう対応するのかが今後の焦点です。

ネットでの反応

ネット上では、「аррӏө.com」は目で見ても気づけないかもしれないという声が出ています。英字の「rn」と「m」の区別すら難しいという投稿もあり、見た目だけで見分ける難しさに共感が集まっています。

一方で、似た文字による偽装はずっと前からある話だという受け止めもあります。「xn--」で表示する決まりがあるのだから、ブラウザーはそれを徹底すべきだという意見も見られます。報道は「なぜ対策を通過したのか」と「パスキーで防ぐ」ことを伝えていますが、反応はブラウザーの表示方針のあり方に向かう傾向があります。

参考記事

• 「apple.com」に見えて実はキリル文字。Chromeの偽装対策をすり抜けるURLが見つかる(ギズモード・ジャパン)Yahoo!ニュース　2026年10月14日 10:00
• 「apple.com」に見えて実はキリル文字。Chromeの偽装対策をすり抜けるURLが見つかる　2026年10月14日 12:04

ランキング登場履歴

この記事の内容に誤りを見つけた方は 情報の誤りを報告 からお知らせください。