検知から 対応措置の実施まで

この問いは、「誰が失敗したのか？」という問いよりも範囲が狭い： 検証済みの証拠と相応の措置との間に生じる遅延のうち、どの遅延は回避可能か、また、許容できない誤検知や付随的な被害を引き起こすことなく、被害者の被害を軽減できる介入はどれか？

本報告書の対象範囲は、gTLDの契約に基づくエコシステム、すなわち登録者、再販業者、レジストラ、レジストリ、およびICANNの契約遵守部門です。ホスティングプロバイダー、CDN、ブラウザ、決済サービス、広告プラットフォーム、各国のCERT、および刑事司法当局については、証拠や対応の連鎖に影響を及ぼす場合に限り対象に含まれます。 国別コードTLD（ccTLD）はガバナンスが異なり、ICANNのgTLD契約の対象とはみなされません。

中心的な論点の現状

• 本論文は、ICANNを、gTLDエコシステムにおける民間ガバナンスおよび契約遵守の機関として分析している。ICANNは政府の規制当局や法執行機関ではないが、レジストラの認定を行い、レジストリ運営者と契約を締結し、それらの契約を履行させている。その権限が限定的であるからといって、制度的な説明責任が免除されるわけではない。
• 60～85％という範囲は、本論文の被害モデルにおける中心的な定量的推定値である。これは、明確な仮定や事例の観察結果から導き出された検証可能な推定値として提示されており、世界全体の不正行為全般についてすでに確立された統計値として提示されているわけではない。 検知、通知、被害軽減、および被害発生のタイムスタンプを整合させたインシデントレベルのデータセットを公開することが、次の証拠提示の段階となる。
• 100～150ドルという数値は、汎用インフラ上のアクセス可能なゾーン、Certificate Transparency、およびパブリックフィードのデータについて、継続的な収集と初期選別を行うための、検証可能な技術的予算見積もりです。これは、完全なグローバル可視性、法的審査、異議申し立て、高可用性、あるいは執行にかかるコストではありません。 したがって、本論文では、この数値を、公開済みのワークロード、ソースインベントリ、およびコストログを用いて再現可能なベンチマークとして扱っており、すでに実証済みの普遍的な価格として扱っているわけではない。この区別により、検証対象となっているコストの非対称性を損なうことなく、主張の範囲を絞り込むことができる。
• 本論文における3週間の比較は、コンプライアンスの遅延に関するものであり、ドメイン一斉削除に関する普遍的なSLAに関するものではない。ICANNの 契約遵守に関するよくある質問 同書によれば、ほとんどの苦情の種類については、正式なエスカレーションが行われるまでに、5営業日ずつ3回にわたる対応期間を経ることができる一方、多くの悪意のあるキャンペーンは数時間から数日間も継続して行われるという。契約書では別途、立証可能な証拠が得られた後は、迅速かつ適切な是正措置を講じることを義務付けている。 [2][4]
• 確認済みの、単一の目的を持つ悪意のある登録については、 serverHold これは、ゾーンから委任を削除するため、DNSレベル対策の中でも特に大きな混乱を招くものの一つです。ただし、この対策は万能ではありません。メールやサブドメイン、正当なサービスにも支障をきたす可能性があります。また、TTLが切れるまでキャッシュされた応答が残る場合があり、侵害されたサービスや共有サービスについては、より限定的な対策が必要になる場合があります。 [4][7]

ICANNが2024年の改正に基づく契約要件の実施状況について発表した最初の半期報告書によると、192件の調査、2,700件以上のドメイン停止、350件以上のフィッシングページの無効化、および2件の違反通知が記録された。 これらの数字は、現在の管理措置が十分であることを証明するものではないが、システムが何の措置も講じていないという絶対的な主張を否定するものである。 [5]

フィッシング攻撃の中には、数時間から数日という時間スケールで活動するものもある。Bijmansらは、2021年に行われたある研究において、1,288件のフィッシングドメインについて、観測された平均存続時間が45時間、中央値が24時間であったと報告している。 [11] 2026年に実施された、新規登録されたフィッシングドメインに関する調査では、その分布に著しい偏りが見られた。存続期間が測定可能な14,112のドメインについて、平均は8.6日、中央値は1日であった。 [12] いずれのサンプルも、あらゆる脅威のカテゴリーに一般化できるわけではありませんが、どちらも、営業日数のみで測定されたプロセスでは、短期間で終了する詐欺やフィッシングの攻撃を見逃してしまう可能性があることを示しています。

経済的に重要な資産は、多くの場合、登録料そのものではなく、ドメインの周りに蓄積されたトラフィック、クリエイティブ、インフラ、そして信頼である。この直感はもっともなものであり、その規模は詐欺やフィッシングの手口によって異なる。したがって、以下の計算ツールでは、観測された平均値として仮定の結果を示すのではなく、すべての入力項目を明示している。

visits(T)   = daily_traffic × T / 24
victims(T)  = visits(T) × conversion_rate
proceeds(T) = victims(T) × average_loss × (1 − cashout_attrition)
profit(T)   = proceeds(T) − campaign_budget

「検出後の損失」が有用な成果となるのは、検出、伝達、および被害が一貫して定義されている場合に限られる。ブラックリストのタイムスタンプは、レジストラが法的措置を講じられる証拠を受け取ったことの証明にはならない。ウォレットの取引は、自動的に特定のドメインに帰属するものではない。ドメインにアクセスできなくなったとしても、その変化を引き起こした主体が特定されるわけではない。

イベントスキーマの最小構成

Post-notice harm share =
  attributable harm with t_harm > t_notice
  ─────────────────────────────────────────
  all attributable harm in the observation window

分子と分母には、同じ帰属ルールを適用しなければならない。 結果の報告にあたっては、コホート、信頼区間、右側打ち切り、データ欠損の要因、重複被害者の取り扱い、および観察期間に対する感度について記載する必要があります。「予防可能」というラベルは、因果関係を検討する研究デザイン、あるいは少なくともマッチング比較が行われた場合にのみ使用すべきであり、通知後のすべての事象に適用されるものではありません。

この一連の事象全体を把握し、制御できる単一の主体は存在しません。レジストラは登録者との関係を把握しており、レジストリはレジストリが管理するドメインのステータスを制御し、ホストおよびCDNはコンテンツ配信を制御し、ブラウザやセキュリティベンダーは警告を表示し、決済およびウォレットプロバイダーは送金を中断することができ、当局はデータの保存や差し押さえを命じることができます。ICANNは、gTLDエコシステムにおいて契約を策定・執行しますが、EPPのユニバーサルな制御プレーンを運用しているわけではありません。

権限の分散は、責任の解消を意味するものではありません。スポンサーレジストラは、不正利用への対応を再販業者に委任したからといって、契約上の義務を免れるわけではありません。レジストリはサーバー設定のEPPステータスを管理し、ICANNは契約の遵守を徹底します。 監査証跡には、誰が行動したかだけでなく、誰が措置を要する証拠を受け取ったか、案件を転送したか、対応を怠ったか、あるいは割り当てられた義務を履行しなかったかも記録されなければなりません。法的権限は、措置を適用する権限を与えられた行為者に留保されます。また、説明責任は、文書化された不履行についても適用されます。

2024年4月のレジストラ認定契約およびベースレジストリ契約の世界的改定により、DNS Abuseを緩和する明示的な義務が設けられた。レジストラは、スポンサードネームがDNS Abuseに使用されていることを示す実行可能な証拠を得た場合、速やかに対応しなければならない。レジストリ運営者は、実行可能な証拠に基づいて、登録名がDNS Abuseに使用されていると合理的に判断した場合、速やかに対応しなければならない。いずれの場合も、適切な措置は状況、深刻度、付随的損害に依存する。 [2][3]

よく混同されがちな3つのタイムライン

この柔軟性には利点がある。すなわち、侵害された大学のドメインは、新規に登録された単一目的のフィッシングドメインと同じように扱うべきではない。説明責任に関する問題点は、公開されたタイムスタンプ、事案の分類、および結果コードがなければ、「迅速」と「適切」を比較することが困難であるという点にある。以下の提案は、すべての事案に単一の期限が適用できるかのように装うことなく、測定と検証の仕組みを追加するものである。

フィッシングは、DNS Abuseの契約上の定義に明示的に含まれる。より難しい境界は、特定可能な第三者を装うのではなく、独自の名称で利用者を欺くサイトにある。例えば、偽の投資プラットフォーム、詐欺的な店舗、返金詐欺、ウォレット署名スキームなどである。事実関係によっては、これらは契約上のDNS Abuseではなく、ウェブサイトコンテンツ上の不正、消費者詐欺、または別の法的カテゴリーとして扱われ得る。

政策協議では、VFHAのように厳密な証拠要件を伴うカテゴリーを、将来の契約、分野横断的な照会枠組み、または国内法のいずれに位置付けるべきかを検討できる。範囲拡大には、明確な被害基準、信頼できる証拠、比例的な救済措置、管轄権審査、不服申立てが必要である。曖昧な「詐欺」ラベルだけでは不十分である。

汎用サーバーは、gTLDに参加しているゾーンファイルの公開スナップショットをダウンロードしてローカルで変更点を計算し、選択されたCertificate Transparencyイベントや公開フィードを取り込み、文字列を正規化し、ハッシュを計算し、候補の優先順位を付けることができます。これは有用で検証可能なエンジニアリングベンチマークであり、「インターネットの完全な監視」ではありません。 2026年第2四半期、VerisignはすべてのTLDにわたって4億160万件の登録を報告しました。CZDSはすべてのTLDではなく、参加しているgTLDゾーンファイルを対象としており、CTはすべてのアクティブなドメインや有害なドメインではなく、公開ログに記録された証明書またはプレ証明書を記録するものです。 [8][9][17]

提案されているフレームワークは、自動的なグローバル・キルスイッチではなく、リファレンス・アーキテクチャである。これは、事案の概要、決定記録、およびタイムスタンプを標準化すると同時に、権限を持つオペレーターが、混乱を最小限に抑えつつ効果的な措置を選択できるようにするものである。

証拠のレベル

APIは、検証可能なケースを作成し、監査可能な対応タイマーを開始する必要があります。報告者は、保留コマンドを直接発行できないようにしなければなりません。E3/E4のケースが単一目的の悪意ある登録に関するものであり、合理的な決定や効果的な是正措置が講じられることなく期限切れとなった場合、システムは自動的にそのケースをレジストリ運営者、または契約上もしくは法的な権限を有する他の関係者にエスカレーションします。A serverHold コマンドは、権限を持つ主体からのみ発行される。有効期限切れ時の自動エスカレーションおよびレジストリ操作権限は、提案されているポリシー変更であり、既存の権限に関する主張ではない。すべての状態遷移には署名が行われ、監査ログに記録される。

{
  "indicator": {"type": "domain", "value": "example.invalid"},
  "alleged_category": "credential_phishing",
  "observed_at": "2026-08-02T06:14:22Z",
  "evidence": [
    {
      "type": "http_capture",
      "sha256": "a3f1c9…",
      "collection_method": "isolated_browser_v2",
      "source_id": "reporter:ed25519:7c2a…"
    }
  ],
  "provenance_graph": "ipfs-or-object-store:sha256:91bd…",
  "collateral_context": {
    "registered_domain_scope": true,
    "shared_service": false,
    "mail_observed": true,
    "suspected_compromise": false
  },
  "requested_action": "review",
  "reporter_signature": "ed25519:…"
}

応答が成功した場合、ケースID、受信アクター、証拠レベル、完全性に関するエラー、目標レビュー期間、および公開用透明性URLが返されます。管轄権および付随的な影響について、権限のあるアクターが評価を行うまでは、具体的な是正措置を約束してはなりません。

サービスレベルの目標は、以下のように区分すべきである 謝辞, トリアージ, 決定 そして 効果的な緩和策. これにより、サスペンションが常に正しい結果であるとは仮定することなく、パフォーマンスを測定できるようになります。

これらは暫定的な目標値です。正しい値は、観測された脅威の存続期間、人員配置、エラーコスト、および法的制約に基づいて導き出され、単一の平均値ではなく、達成度分布とともに公表されるべきです。

安全対策なしに迅速に対応すると、不正確なデータが検閲、商業的妨害、あるいはインフラの停止へとエスカレートする恐れがあります。したがって、適切なアーキテクチャでは、誤検知や付随的な被害を、最優先のセキュリティ上の失敗として扱う必要があります。

適正手続きの最低限の保障

1. 制限措置については、その都度、理由コード、証拠の信頼度レベル、および責任ある意思決定者が記録されます。
2. 登録者は、プライバシーを保護した理由説明書を入手し、反証を提出することができます。
3. 緊急案件（不服申立て）は、当初の決定を下した者とは別の担当者が審査を行います。
4. 取り消しは、元の操作と同じ符号付きチャネルを通じて伝播します。
5. エラーおよび復旧に関する集計統計は公開されていますが、機密性の高い証拠については引き続きアクセス制御が適用されています。

レジストラの公開スコアは説明責任の向上に寄与するものの、単純なランキングは、ポートフォリオの規模、フィードの網羅性、顧客構成、およびドメインが悪意を持って登録されたか、あるいは後に乗っ取られたかといった要因によって歪められてしまう。スコアを理由に、あるレジストラの全顧客を一括してブロックするようなことは決してあってはならない。

RQI = report as a vector, not a single opaque rank:

  coverage-adjusted validated-abuse rate
  median / p90 acknowledge, triage and decision times
  mitigation effectiveness and recurrence
  false-positive and reversal rates
  median / p95 appeal-resolution time
  evidence completeness and transparency rate

Always publish N, observation window, confidence intervals,
feed coverage and malicious-registration / compromise split.

ガバナンスのために複合評価が必要とされる場合、評価の前に重み付けを設定し、感度分析を行い、除外された事例を用いてバックテストを実施すべきである。結果は、TLD、レジストラの規模、脅威クラス、および証拠源ごとに層別化すべきである。その結果として得られるのは、説明責任を示すシグナルであり、自動化されたドメイン判定ではない。

透明性レジストリを導入すれば、通知の有無、その送達時期、およびそれに続く措置について生じる紛争を解消することができます。しかし、すべての証拠資料を公開してしまうと、被害者や個人データ、捜査手法、さらには現在も有効な攻撃経路が露見してしまう恐れがあります。その解決策となるのが、アクセス権限の段階的設定です。

各更新は追記専用であり、タイムスタンプと署名が付与されます。修正によって履歴が消去されることはなく、既存の記録に上書きする形で新しい記録が追加されます。公開検索は、保存期間のルールを遵守し、被害者の一括特定を防止するとともに、不正確な個人データに対する是正措置を提供すべきです。

有用なパイロット研究は、管理が容易な規模でありながら、因果関係の連鎖を検証するのに十分な規模であるべきです。推奨される範囲は、ボランティアのレジストラ3名、レジストリ運営者2名、ホスティング／CDNパートナー1社、独立した研究フィード2件、および適格な不服申立てパネル1つです。症例の割り当てを行う前に、研究プロトコルとアウトカムの定義を登録しておく必要があります。

パイロットの主要評価項目

• 検証済みのエビデンスから効果的な緩和策の実施に至るまでの時間の中央値および90パーセンタイル値。
• 通知後の帰属可能な損害の差、またはあらかじめ指定された被害者・曝露の代用指標。
• 偽陽性率、誤った措置の重大度、および回復までの時間の中央値。
• 同一の登録者、インフラクラスター、詐欺・フィッシング作戦の各レベルでの再発。
• 検証済み症例1件あたり、および有効な緩和策1件あたりの直接運営コスト。

DNS Abuseへの対応は、純粋な技術的フィルターでも、単一の機関だけで解決できる問題でもない。2024年に発効した契約改定は実質的な緩和義務を定めた一方、証拠、時期、救済措置について相当の裁量を残している。この裁量は比例原則のために必要だが、比較可能な記録がなければ実績評価を難しくもする。

1. 証拠エンベロープを標準化する。 報告者、レジストラ、レジストリ、インフラ事業者の間で、証拠の来歴、タイムスタンプ、結果の共通フィールドを採用する。
2. 各段階を個別に測定する。 脅威分類と証拠レベル別に、受領確認、トリアージ、決定、緩和、不服申立てまでの時間を公開する。
3. 悪意ある登録と正規サービスの侵害を区別する。 侵害された正規サービスではパス／アカウント単位の是正を優先し、ドメイン全体の措置は比例的である場合に限定する。
4. 対応目標を試行する。 一律の期限を宣言するのではなく、信頼度が高く単一目的の悪意ある登録について、時間単位の目標を検証する。
5. プライバシーを保護した形で、説明責任に関するデータを公開する。 署名付き履歴と制限付き証拠を備えた、段階的な透明性レジストリを使用する。
6. 因果効果を評価する。 事前登録研究が被害者への影響と攻撃の別経路への移行を測定するまでは、停止の迅速化を金銭的被害の削減と同一視しない。

建設的な結論は、当初の問題が、その主張に条件が付加されたからといって解消されるということではない。むしろ、中心的な主張を検証できるようになったということである。すなわち、検知後の被害が60～85％の範囲に及ぶという点は、明確な定量的仮説であり、 $100～150は、定義されたセンサーおよびトリアージ層に対する検証可能な工学的予算の仮定であり、また、信頼度が高く単一目的の悪意ある登録については、時間単位の対応目標を試験的に導入することができる。 作業負荷、コスト、タイムスタンプ、および結果を公表し、それらをベースラインと比較して、置換率と誤差を測定する。確認されれば、契約や方針の変更が正当化される。却下されれば、どの仮定が誤りであったかが特定される。