GMOの「お名前.com デスクトップクラウド」に不正アクセスした攻撃者とみられる者が、情報と称するものをサイトで公開しました。GMOがそれを確認したのは10月27日の12時30分で、そのサイトは、翌28日の午前4時ごろには止められていました。GMOは第13報で、ミラーサイト(同じ中身を複製したサイト)も含めてドメインが停止されたと報告しています。
こうしてサイトを止めることを、テイクダウンと呼びます。この記事では、テイクダウンとは何か、どんな仕組みでサイトが止まるのかを説明します。10月29日時点の情報です。
サイトが見られるまでの仕組み
Webサイトを見るには、大きく2つのものが要ります。
1つは、ドメインです。example.comのような、インターネット上の住所の名前です。もう1つは、サーバーです。サイトの中身が置かれているコンピューターのことです。ブラウザにドメインを打ち込むと、そのドメインに結びついたサーバーを探しに行き、中身を受け取って表示します。
お店にたとえると、ドメインは看板と住所、サーバーは商品が並んだ店舗そのものです。住所を地図から消すのがドメインの停止、店を閉めさせるのがサーバーの停止にあたります。
テイクダウンは、このどちらか、あるいは両方を止めることです。
ドメインを止める
ドメインは、申し込みを受け付ける窓口の事業者(レジストラ。お名前.comなど)や、.comや.jpといった種類ごとの元締め(レジストリ)が管理しています。犯罪に使われているとわかれば、こうした事業者が、そのドメインを使えない状態にすることがあります。止められたドメインを打ち込んでも、サーバーにたどり着けなくなります。
GMOが報告したのは、このドメインの停止です。第13報は、関係する事業者と連携して対応したとしていますが、どの事業者がどう止めたかまでは書いていません。
サーバーを止める
もう1つは、サーバーを貸している事業者に、中身を消したり、契約を止めたりしてもらう方法です。ドメインが生きていても、サーバーが止まれば、サイトは表示されません。サーバーの事業者の多くは、利用規約で違法な内容の掲載を禁じていて、通報を受けて調べたうえで契約を止める、という流れが一般的です。
なぜまた作られうるのか
テイクダウンは、もぐらたたきになりがちです。攻撃者は、新しいドメインを取り、別の国のサーバーを借りて、同じ中身のサイトをまた作れます。ドメインは安いものなら年に数百円で取れるので、作り直す手間はそれほどかかりません。特に、犯罪に寛容な事業者や、警察の要請に応じにくい国の事業者を選ばれると、止めるのに時間がかかります。
GMOが第13報で、新しいサイトが作られたら確認しだいすぐに止める、監視を続ける、と書いているのはそのためです。
1日足らずで止まったのは速いのか
私の知る範囲では、犯罪サイトのテイクダウンには、数日から数週間かかることもあります。今回は、GMOが公開を確認してからおよそ15時間半で止まりました。
GMOグループは、お名前.comというドメインの登録事業者を自社で運営しています。ドメインやサーバーの事業者どうしのつながりや、止めてもらうための手続きに慣れていることが、速さにつながった可能性はあります。ただ、これは私の推測で、GMOはそう説明していません。
日経新聞によると、サイトの停止の発表を受けて、28日の午後にはGMOインターネットグループの株価が一時8%近く上がりました。
止まったあとも残るもの
テイクダウンで、公開された情報が世の中から消えるわけではありません。すでに誰かが保存していれば、別の場所に出回るおそれがあります。だからGMOは、止めることと並んで、見に行かない、広めないことを強く求めています。
私も自分のサイトのドメインを持っていますが、ドメインの登録事業者の管理画面にログインするのは年に1回の更新のときくらいです。今回の件で、ドメインは止められうるもので、自分のドメインの登録情報と、事業者からの連絡先のメールアドレスが正しいかを確かめておくべきだと思いました。会社のサイトやメールのドメインを、誰がどの事業者で管理しているのか。総務や情報システムの担当者に一度確かめておくと安心です。
見に行かない理由は、別の記事で説明しています。
