ホモグラフ攻撃

「аррӏе.com」は apple.com に見えますが、別のドメインです。a・p・p・l・e の5文字を、どれもキリル文字（ロシア語などで使う文字）の似た字で書いています。ホモグラフ攻撃は、こうした見た目が同じ別の文字でドメインを作り、本物のサイトだと思わせる手口です。日本語やキリル文字などを含むドメインは、内部では「xn--」で始まる英数字とハイフンの表記（Punycode）に変換して扱われます。аррӏе.com を Punycode で表すと「xn--80ak6aa92e.com」です。

今の Chrome と Firefox は、ドットで区切られた同じ部分に英字とキリル文字が混ざっていると、その部分を「xn--」の形で表示します。Chrome は、例に挙げた аррӏе.com も xn-- の形で表示します。.jp ドメインで登録する名前には、キリル文字やギリシャ文字は使えません（JPRS の決まり）。ただし .jp でも、rn と m、英字の l と数字の 1 などを使えば、見間違えやすいドメインは作れます。末尾が .jp だから本物とは限りません。

フィッシングでは、身近な企業の名前が悪用されています。フィッシング対策協議会に2026年9月に寄せられた94,661件の報告のうち、Amazon をかたるものが約33.2%、Apple をかたるものが約11.1%でした（フィッシング全体の数字で、ホモグラフ攻撃に限ったものではありません）。日本の Amazon やセゾンカード、国税庁の公式サイトは .jp で終わるドメインですが、偽サイトが .jp を使うとは限りません。apple.com の「apple」の5文字は、すべて見た目の似たキリル文字に置き換えられます。名前を見ただけで本物と判断しないでください。

.com では、英字とキリル文字を混ぜた名前は新しく登録できません。一方、キリル文字だけの名前は、登録の条件を満たせば今も登録でき、аррӏе.com も登録されています（2026年10月時点）。対策は、ドメインの見た目だけに頼らないことです。メールや SMS のリンクからログインせず、ブックマークや公式アプリを使う。パスワード管理ソフトで、いつもの自動入力が働かないときは偽サイトを疑う。パスキーを使う（ブラウザや OS が利用先を確かめるので、見た目を似せただけの偽サイトでは使えません）。