広告キャンペーンを成功させるには、予算を最も効果的な方法で使い、一人でも多くの実在するユーザーにリーチする必要があります。しかし、広告予算を搾取しようとする不正業者はいたるところに潜んでいます。
長年にわたり横行している不正手法の一つが、いわゆる「ドメインスプーフィング（ドメインなりすまし）」です。この記事では、ドメインスプーフィングの概要やその手口、そして広告予算を守るための対策について分かりやすく解説します。
ドメインスプーフィングとは？その仕組み
ドメインスプーフィングは、不正業者が広告予算を騙し取るために広く用いる手法です。有名サイトに似せた、あるいは完全にコピーした低品質な偽のウェブサイトを作成します。一見しただけでは、本物と区別するのは困難です。
不正業者は、これらの偽サイトをさまざまな広告ネットワークに「プレミアム枠」として登録し、ディスプレイ広告や動画広告を掲載します。その後、ボットトラフィックを流入させて広告を偽装クリックし、不正に広告収入を得ます。
この手法はシンプルでありながら非常に効果的です。広告主はプレミアム枠の広告費を支払っているつもりでも、実際にはコンバージョンやブランディング効果は一切得られません。
ドメインスプーフィングが行われる主な目的は以下の通りです：
低品質なトラフィックや自動化されたボットにより、広告詐欺（アドフラウド）を行うため
違法または不適切なコンテンツを持つサイトの、トラフィックの出所を隠すため
フィッシング詐欺を行うため
マルウェアやスパイウェアを拡散するため
個人情報を盗み出すため
ドメインスプーフィングの主な手口
ドメインスプーフィングの手法は、単純なものから複雑なものまで様々です。
シンプルな手法では、既存のウェブサイトを丸ごとコピーして新しいドメインで公開します。
より複雑な手法では、Eメールアドレスの偽装、ウェブサイトを介したマルウェアの拡散、個人情報の窃取などが行われます。
ウェブサイト／URLスプーフィング
最もシンプルな手法です。不正業者は、実在する大手パブリッシャーのURLを広告サーバーに送信します。広告主は「forbes.com」などの有名サイトに広告が掲載されたと思い込みますが、実際には偽のウェブサイトに掲載されています。
また、ドメインにUnicode文字を使用する手法もあります。Unicodeは、世界中の文字を共通のコードで表す国際標準規格です。
例えば、アルファベットの「h」と、Unicodeの「һ」（キリル文字のShha）は見た目ではほぼ区別できません。不正業者はこれを利用し、本物のサイトに酷似したドメインを取得して偽サイトを立ち上げます。
視覚的に類似しているUnicode文字の一覧はこちらから確認できます。
クロスドメイン・エンベディング（インラインフレームの悪用）
この手法では「iFrame（アイフレーム）」が使われます。iFrameは、ウェブサイト内に別のコンテンツを埋め込むためのHTML要素です。画像や動画だけでなく、ウェブサイト全体を埋め込むことも可能です。
不正業者は、偽サイト上のiFrame内に大手有名サイトを丸ごと埋め込みます。これにより、広告主からは有名サイト上に自社の広告が掲載されているように見えてしまいます。
マルウェア
不正なアプリやブラウザ拡張機能を使って、ユーザーが気づかないうちに広告を挿入する手法です。
仕組みはシンプルです。ユーザーが感染したアプリを開くと、バックグラウンドで目に見えない広告バナーが読み込まれ、自動的にクリックされます。クリックされるたびに、不正業者に報酬が支払われます。
この仕組みを利用した代表的なアドフラウドに、Zacinloがあります。このマルウェアは、ブラウザのリダイレクトを勝手に行ったり、非表示のブラウザウィンドウでクリックを偽装したりしたほか、ユーザーの画面に表示されるはずの正規の広告を攻撃者の広告に差し替えて広告収入を横取りしていました。
2023年になってもドメインスプーフィングが問題視される理由
理由は単純です。「短期間で非常に大きな利益を得られるから」です。
現在では、既存のウェブサイトを自動でコピーし、広告を掲載して、ボットトラフィックで稼ぐことが驚くほど簡単になりました。専門知識があまりない人でもどれほど容易に実行できるかは、以前CNBCの記者が検証したレポートで明らかになっています。彼女はわずか数日のうちに偽サイトを立ち上げ、複数の広告ネットワークで収益化に成功しました。
2017年にFinancial Times紙が調査したところ、大手ニュースサイトになりすました偽ドメインが多数発見され、その被害額は毎月約130万ドル（約1.8億円）に上ることが判明しました。
また、数年前に発覚した史上最大規模のアドフラウド「Methbot」は、ピーク時に1日あたり最大4億回の動画広告インプレッション、6,000のドメイン、25万以上のURLを偽装していました。これにより、不正業者はドメインスプーフィングなどを用いて1日あたり最大300万ドルを稼ぎ出していました。
ドメインスプーフィングを防ぐための対策
ドメインスプーフィングは、広告予算を瞬く間に浪費させます。被害を防ぐための主な対策をご紹介します。
レポートをこまめに確認する
掲載先レポートを定期的にチェックし、ドメイン名やURLに不審な点がないか確認してください。不要な文字や数字が混ざっていないか、また先述した「見分けのつかないUnicode文字」が使われていないか注意が必要です。
しかし、大規模なキャンペーンにおいて手動でのチェックは非常に時間と手間がかかります。
そのため、あらかじめ信頼できるドメインを指定した「配信推奨リスト（アローリスト）」のみに広告を配信することをおすすめします。
Ads.txt（アズテキスト）を導入する
2017年5月にIAB Tech Labが立ち上げた「Ads.txt」プロジェクトは、ドメインスプーフィングや不正な広告枠の転売を防ぐことを目的としています。
Ads.txtは、そのドメインの広告枠を販売する権限を持つ会社を明記したシンプルなテキストファイルです。サイトの管理者しか設置・更新できないため、高い信頼性があります。
Ads.txtだけでドメインスプーフィングを100%防ぐことはできませんが、正しく導入・維持されていれば、強力な防御壁となります。
広告を出稿する際は、Ads.txtが設置されているドメインのみを対象にすることをおすすめします。
アドフラウド対策ツールの導入
手動での確認やAds.txtの利用だけでは、クロスドメイン・エンベディングのような高度な攻撃を完全に防ぐことは困難です。
ドメインスプーフィングをはじめとする多様なアドフラウドからリアルタイムで身を守るために、専用の対策ソフトの導入を強く推奨します。
fraud0は、ドメインの様々な特徴を分析してドメインスプーフィングを防ぎます。広告がiFrame内で表示されているかどうか（iFrameとメインURLのレポートを含む）を判定し、送信されたURLが実際に広告が掲載されているURLと一致しているかを正確に検証します。
さらに、フェイクニュース、過激な政治的コンテンツ、テロ、アダルトサイトなどの不適切なコンテンツの隣に広告が掲載されるのを防ぎ、貴社のブランドイメージを安全に守ります。
