タイポスクワッティングとは？URLハイジャックの手口・見分け方・対策を日本向けに解説【2026年版】

「Amazonのログインページを開いたつもりが、URLが少しだけ違うサイトだった」。タイポスクワッティングは、こうしたちょっとした違いを悪用する手口です。

タイポスクワッティングの意味や日本語での呼び方、代表的な手口、日本で特に注意したい場面、個人とサイト運営者それぞれの対策、そして日本の法律や紛争解決制度まで、まとめて解説します。

この記事のポイント

• タイポスクワッティングとは、正規サイトのドメイン名を打ち間違えたときに開いてしまうような、似たドメインをあらかじめ取得しておく手口
• 日本語での定訳は特になく、一般的にはカタカナで「タイポスクワッティング」、別名は「URLハイジャック」。実際の被害現場では「類似ドメイン」「偽サイト」「フィッシングサイト」と呼ばれることが多い
• 打ち間違いだけでなく、メールやSMSのリンクから誘導されるのが現在の主流
• 個人はブックマークの利用、URLの読み方の理解、パスワードマネージャーやパスキーが有効
• サイト運営者は主要な類似ドメインの取得、DMARCなどのメール認証、監視、法的手続きを組み合わせる
• 日本では不正競争防止法やJP-DRP（JPドメイン名紛争処理方針） などで対応できる場合がある

日本語では何と呼ぶ？ タイポスクワッティングの用語整理

英語の「typosquatting」は、「typo（タイプミス）」と「squatting（不法占拠）」を合わせた言葉です。日本語では、次のように呼ばれています。

呼び方	意味・使われ方
タイポスクワッティング	最も一般的な呼び方。カタカナ表記で使われることがほとんど
URLハイジャック（URLハイジャッキング）	英語の別名「URL hijacking」の直訳。打ち間違いで訪れた人を横取りするイメージ
類似ドメイン、紛らわしいドメイン	正規ドメインとよく似たドメイン名全般を指す、日本語で自然な言い方
偽ドメイン、なりすましドメイン	正規の組織になりすましたドメイン。フィッシングの文脈でよく使われる
タイポドメイン	タイプミスを狙ったドメインを指す俗称

似た言葉との違い

タイポスクワッティングは、ほかの用語と混同されやすいので整理しておきましょう。

用語	内容
サイバースクワッティング	他人の商標や社名などに似たドメインを先に取得して、高く売りつけたり、ブランドの価値を利用したりする行為。タイポスクワッティングはその一種
フィッシング	偽サイトに誘導してID・パスワードやカード情報を盗む詐欺。タイポスクワッティングは誘導のための手段の一つ
ドメインハイジャック（ドメイン乗っ取り）	他人のドメインの管理権限そのものを奪う攻撃。まったく別の手口

特に「URLハイジャック」と「ドメインハイジャック」は名前が似ていますが、後者は正規のドメインが乗っ取られる被害で、タイポスクワッティングとは別物です。

タイポスクワッティングとは

タイポスクワッティングとは、有名なサイトやサービスのドメイン名とわずかにだけ違うドメイン名を第三者が取得し、利用者が間違って訪れるのを待つ（あるいは誘導する）手口です。

たとえば、example.co.jp の代わりに exmple.co.jp（「a」が抜けている）のようなドメインを取得します。急いで入力したときや、スマートフォンの小さな画面で入力したときには、間違いに気づかずに表示してしまうことがあります。

昔は、こうしたドメインに広告を表示して稼ぐだけの例が多くありました。しかし現在は、フィッシング詐欺やマルウェア配布の入り口として使われる例が増えています。

タイポスクワッティングの仕組み

典型的な流れは次のとおりです。

1. 標的を決める：銀行、ECサイト、クレジットカード会社、SaaS、暗号資産の取引所など、ログイン情報や決済情報が狙える大手ブランドが選ばれる
2. 似たドメインを大量に取得する：専用のツールで、打ち間違いのパターンを自動生成して一気に登録する
3. 偽サイトや転送先を用意する：本物そっくりのログインページ、マルウェアの配布ページ、広告ページなどを用意する。最近はHTTPS（鍵マーク）も付けて、一見安全に見せる
4. 利用者を呼び込む：打ち間違いを待つだけでなく、メール、SMS、QRコード、広告などで偽サイトへ誘導する
5. 収益化する：盗んだ情報を悪用したり、広告やアフィリエイトで稼いだりする。ブラックリストに載る前に素早く行う

つまり、現在のタイポスクワッティングは「たまたま間違えた人を待つ」というより、フィッシングとセットで使われる攻撃だと考えたほうが実態に近いです。

タイポスクワッティングの目的

似たドメインを取得する目的は、悪質さに幅があります。

目的	内容	危険度
フィッシング	本物そっくりのログインページでID・パスワード、カード情報などを盗む	高い
マルウェア配布	偽サイトを開く、または偽の更新・ダウンロードを促して感染させる	高い
広告収入	広告やポップアップを大量に表示して収益を得る	中程度
競合への誘導	競合他社のサイトへ顧客を誘導する、あるいは競合から広告費を得る	中程度（違法になる場合が多い）
アフィリエイト	正規サイトへ転送しつつ、自分のアフィリエイトとして報酬を得る	中程度
情報収集	アンケートやプレゼントを装って個人情報を集める	高い
パロディ、嫌がらせ	風刺や、恨みによる嫌がらせ	低〜中程度

なお、使われなくなった「放置ドメイン（パーキング）」の訪問者の大半が、不正なコンテンツやマルウェアなどに誘導されるという調査結果も紹介されています（ESETの解説で言及されているInfobloxなどの調査）。「どうせ広告が出るだけ」と考えないほうが安全です。

タイポスクワッティングの主なパターン

ここでは、正規のドメインが example.co.jp だと仮定して、代表的なパターンを紹介します（あくまで説明用の例です）。

パターン	例	説明
脱字	exmple.co.jp	文字が1つ抜けている
重複	exampple.co.jp	同じ文字が重なっている
入れ替え	exmaple.co.jp	隣り合う2文字が入れ替わっている
隣のキー	exanple.co.jp	キーボード上で隣にある文字に置き換わっている
似た文字	examp1e.co.jp、rnicrosoft	「l」と「1」、「m」と「rn」など、見た目が似た文字を使う
綴りの揺れ	colour と color	英米の綴りの違いや、複数形（s）の有無
ハイフン	example-co-jp.com	ハイフンの追加・削除
単語の追加（コンボスクワッティング）	example-login.com、example-support.com	「login」「secure」「support」などを足して正規らしく見せる
TLDの違い	example.co、example.net	末尾の部分だけを入れ替える。特に「.co」は「.com」と間違えやすい
ドットの抜け	wwwexample.co.jp	「www.」や「サブドメイン」のドットを抜く
国際化ドメイン（IDN）	キリル文字の「а」を使った偽ドメイン	見た目が同じ別の文字を使う

日本語ならではの紛らわしい文字にも注意

日本語ドメイン（日本語を使えるドメイン）やメール本文の中の表記では、日本語特有の紛らわしい文字も悪用されえます。

• カタカナの「ー（長音）」と、漢数字の「一」、ハイフン「-」
• カタカナの「ロ」と漢字の「口」、「カ」と「力」、「エ」と「工」、「ニ」と「二」
• 全角と半角の違い

これらは、ブラウザやメールソフトの表示によっては、ほとんど見分けがつきません。

日本で注意したい場面

メールとSMSのリンク

日本でも、フィッシング対策協議会が毎月「フィッシング報告状況」を公表しており、さまざまなブランドをかたるフィッシングが報告されています。報道によれば、2026年7月の報告ではAmazonをかたるフィッシングが急増したとされています。ほかにも、銀行、クレジットカード会社、証券会社、ETC利用照会サービス、宅配便の不在通知など、生活に身近なサービスがたびたび標的になっています。

こうした偽メールやSMSのリンク先に、正規ドメインとよく似た偽ドメインが使われることは珍しくありません。

また、フィッシング対策協議会の「フィッシングレポート2026」について、DMARCを通過する独自ドメインを使ったフィッシングが急増しているとの報道もあります。メール認証に通っていても、安全とは限らないことの表れです。

検索結果や広告

検索結果や広告から偽サイトに誘導される例もあります。ブックマークや公式アプリを使うのが、最も確実な方法です。

QRコード

QRコードは、読み取るまでURLが見えません。チラシ、メール、SNSなどにあるQRコードは、読み取ったあとに表示されたURLを確認してから進みましょう。

タイポスクワッティングの被害

個人の場合

• ID・パスワードの盗難による、アカウントの乗っ取り
• カード情報や口座情報の入力による、不正利用や金銭的な被害
• マルウェア感染による、端末内の情報流出
• 同じパスワードを使い回している場合の、ほかのサービスへの被害拡大

企業・サイト運営者の場合

• 顧客が偽サイトで被害に遭い、ブランドの信頼が低下する
• 偽サイトの存在によって、問い合わせやサポートの負担が増える
• 従業員が偽のログインページに情報を入力して、社内システムに侵入される
• 偽のメールドメインを使った、ビジネスメール詐欺（BEC）
• 顧客の流出や、機会損失

偽サイトを見分けるチェックポイント

1. URLを「右から」「ドメインの区切りで」読む

URLは、ドメインの一番右の部分から読むのが基本です。たとえば、次のURLを見てみましょう。

https://www.example.co.jp.login-check.com/

一見すると example.co.jp のサイトに見えますが、実際のドメインは login-check.com です。https:// の後ろから最初の / までの間にあるドメインを、右から区切って確認してください。

2. 1文字ずつ見る

• 抜けている、増えている、入れ替わっている文字はないか
• 「l」「1」「I」「O」「0」などの似た文字がないか
• ハイフンや余計な単語（login、secure、verify、support など）が付いていないか

3. ドメインの末尾（TLD）を確認する

「.co」「.online」「.shop」など、見慣れない末尾になっていないか確認します。日本企業の公式サイトであれば、「.co.jp」「.jp」「.com」が使われることがほとんどです。

4. 鍵マーク（HTTPS）を信用しすぎない

HTTPSは「通信が暗号化されている」ことを示すだけで、サイトが本物であることの証明ではありません。偽サイトでも、証明書を取得してHTTPSにすることができます。

5. 突然ログインを求められていないか

メールやSMSのリンクを押した直後に、ID・パスワードの入力を求められた場合は特に注意しましょう。いったん閉じて、ブックマークや公式アプリから開き直すのが安全です。

6. 不自然な転送や、表示が変わる動き

アクセスしたあとに何度も転送されたり、URLが途中で変わったりする場合は要注意です。

7. 日本語の違和感

最近は日本語も自然になってきていますが、不自然な言い回し、フォントの違い、レイアウトの崩れが手がかりになる場合もあります。

個人ができる対策

基本の対策

1. よく使うサービスは、ブックマークか公式アプリから開く
   • 銀行、クレジットカード、ECサイト、メール、SNSなどは、URLを毎回入力しない
2. メールやSMSのリンクを、安易に押さない
   • 心当たりがない通知や、「アカウントが停止されます」などと焦らせる内容は、リンクを押さず、公式アプリやブックマークから確認する
3. パスワードマネージャーを使う
   • 登録済みのドメインでしか自動入力されないため、偽サイトでは入力欄が自動で埋まらないことが、異変に気づく手がかりになる
4. パスキーや2段階認証を使う
   • パスキーは、登録した正規のサイトでしか使えない仕組みのため、偽サイトに対して有効
   • SMSなどのワンタイムコードは、偽サイトに入力させて盗まれる場合があるため、可能ならパスキーなど、より強い方法を選ぶ
5. パスワードを使い回さない
6. OS、ブラウザ、セキュリティソフトを最新に保つ

ブラウザの機能を使う

Microsoft Edgeには、有名サイトの綴りを間違えたときに警告する「Website typo protection」という機能があります。標準で有効になっていることが多いですが、日本語環境でも、「設定」→「プライバシー、検索、サービス」→「セキュリティ」の項目で確認できます（バージョンによって名称や表示が異なる場合があります）。

ただし、この機能は既知の人気サイトの打ち間違いを検出するものです。すべての偽ドメインを検出できるわけではありません。

被害に遭ったかもしれないとき

• 入力してしまったサービスのパスワードをすぐに変更する（同じパスワードを使い回していた場合は、ほかのサービスも変更する）
• カード情報を入力した場合は、カード会社に連絡して利用停止や再発行を相談する
• 端末にマルウェアが入った可能性がある場合は、セキュリティソフトでスキャンする
• 偽サイトの情報は、フィッシング対策協議会などに報告する
• 被害額が出ている場合は、警察のサイバー犯罪相談窓口にも相談する

サイト運営者・企業ができる対策

完全に防ぐことはできませんが、次のような対策を組み合わせることで、リスクを大きく減らせます。

1. 主要な類似ドメインを先に取得する

• よくある打ち間違い、綴りの揺れ、ハイフンあり・なし
• 主要なTLD（.com、.jp、.co.jp など）
• 取得したドメインは、**公式サイトへ転送（リダイレクト）**する

すべてのパターンを取得するのは現実的ではないため、ブランドの重要度と費用のバランスを見て、優先順位をつけましょう。

2. メールのなりすまし対策（SPF・DKIM・DMARC）

類似ドメインや自社ドメインを使ったなりすましメールを防ぐために、SPF、DKIM、DMARCを設定します。フィッシング対策協議会の「フィッシング対策ガイドライン2026年度版」でも、DMARCのポリシーを「reject」にすることが推奨されていると報じられています。

3. ドメインの監視

• 自社名や商品名を含む新規登録ドメインの監視
• 証明書の発行履歴（証明書の透明性ログ）の監視
• 専門の監視サービスの利用

4. 商標の登録

商標を登録しておくと、紛争処理の手続きで権利を主張しやすくなります。

5. 顧客への周知

• 公式のドメイン、公式アプリ、問い合わせ窓口を、サイトやメールの署名などで明示する
• 「メールやSMSで、ログイン情報の入力を求めることはありません」と案内する
• 偽サイトを確認した場合は、すぐに注意喚起する

6. 偽サイトの発見後の対応

1. 偽サイトの内容を、スクリーンショットやURLで記録する（アクセスする際は、安全な環境で）
2. ドメインの登録事業者（レジストラ）やホスティング事業者に、削除や停止を申請する
3. フィッシング対策協議会や、ブラウザの提供元への報告
4. 必要に応じて、法的手続きを検討する
5. 顧客への注意喚起

日本の法律と紛争解決制度

不正競争防止法

日本の不正競争防止法では、不正の利益を得る目的、または他人に損害を加える目的で、他人の特定商品等表示（商号、商標など）と同一または類似のドメイン名を使用する権利を取得・保有したり、そのドメイン名を使用したりする行為が、不正競争の一つとして定められています（第2条第1項。2001年の改正で追加されました）。

つまり、類似ドメインを取得・保有しているだけでも、目的によっては該当しえます。該当する場合、差止請求や損害賠償請求などができます。

ただし、単にドメインが似ているだけで、常に違法になるわけではありません。「不正の目的」があるかどうかが重要な判断のポイントです。

商標法・その他

ドメインの使い方によっては、商標権の侵害や、周知な表示との混同を生じさせる行為として、ほかの規定が問題になることもあります。フィッシングなどの詐欺に使われた場合は、詐欺などの犯罪にあたる可能性もあります。

紛争処理の制度：JP-DRPとUDRP

裁判より早く、費用を抑えられる方法として、ドメイン名の紛争処理制度があります。

制度	対象	概要
JP-DRP（JPドメイン名紛争処理方針）	.jp、.co.jp などJPドメイン	JPNICが定めた方針。日本知的財産仲裁センターなどが審理を担当し、ドメイン名の移転や取消しを求められる
UDRP（統一ドメイン名紛争処理方針）	.com、.net など多くのgTLD	ICANNが定めた国際的な制度。WIPO（世界知的所有権機関）などの機関が審理する

JP-DRPで申立人が立証する必要がある主な点は、次の3つです。

1. 登録者のドメイン名が、申立人が権利または正当な利益を有する商標その他表示と同一、または混同を引き起こすほど類似していること
2. 登録者が、そのドメイン名について権利または正当な利益を有していないこと
3. 登録者のドメイン名が、不正の目的で登録または使用されていること

JPNICの資料によれば、JP-DRPでは、不正の目的が登録時または使用時のいずれかにあればよいとされ、この点がUDRPと異なると説明されています。

なお、法的な判断はケースごとに異なります。実際に対応する場合は、弁護士や弁理士などの専門家に相談してください。この記事は一般的な情報提供であり、法的助言ではありません。

当サイトのツールで確認できること

当サイトの ドメシラ では、ドメインのDNS設定を実際にスキャンして確認できます。タイポスクワッティング対策では、次のような場面で役立ちます。

• 自社ドメインの設定確認：SPF、DKIM、DMARCなどが正しく設定されているか確認し、なりすましメールへの備えができているかを見直す
• 紛らわしいドメインの調査：疑わしいドメインに、ネームサーバーやメール用のレコード（MXなど）が設定されているかを確認する。ブラウザでサイトを開かずに、DNSの情報だけを調べられるため、偽サイトに直接アクセスするリスクを避けられる
• 取得した類似ドメインの管理：防衛的に取得したドメインの転送先やDNS設定を点検する

ただし、DNSの情報だけで「偽サイトかどうか」を断定することはできません。あくまで調査の手がかりの一つとして、ほかの情報と組み合わせて判断してください。

よくある質問

タイポスクワッティングは違法ですか？

類似ドメインを取得するだけで、一律に違法になるわけではありません。ただし、不正の目的で取得・保有・使用している場合は、不正競争防止法などに違反する可能性があります。フィッシングや詐欺に使えば、犯罪にもなりえます。

URLを入力せず、検索から開けば安全ですか？

打ち間違いのリスクは減りますが、偽の広告や偽サイトが検索結果に出る場合もあります。最も安全なのは、ブックマークや公式アプリから開くことです。

鍵マーク（HTTPS）が付いていれば安全ですか？

安全とは限りません。HTTPSは通信が暗号化されていることを示すだけで、サイトの運営者が本物であることまでは保証しません。

スマホのほうが危険ですか？

スマートフォンは画面が小さく、URLの一部しか表示されないことや、タッチ入力でミスしやすいことから、気づきにくくなる傾向があります。特に、SMSやメッセージアプリのリンクには注意してください。

VPNを使えば防げますか？

VPNは通信の盗み見を防ぐのに役立ちますが、偽サイトを開いてしまうこと自体は防げません。セキュリティソフトのフィッシング対策や、DNSフィルタリングなどの機能が別に必要です。

自分のサイトの類似ドメインを見つけたらどうすればいいですか？

まず内容を記録し、フィッシングやなりすましの疑いがある場合は、レジストラやホスティング事業者、フィッシング対策協議会に報告します。そのうえで、必要に応じて不正競争防止法に基づく請求や、JP-DRP・UDRPの申立てを検討します。

まとめ

タイポスクワッティングは、ドメイン名のわずかな違いを悪用して、利用者を偽サイトに誘導する手口です。最近は、フィッシングやマルウェア配布の入り口として使われることが増え、打ち間違いだけでなく、メールやSMS、QRコードなどからも誘導されます。

• 個人は、ブックマークや公式アプリ、パスワードマネージャー、パスキーを活用し、URLを「ドメインの区切り」で確認する習慣をつける
• サイト運営者は、類似ドメインの取得、DMARCなどのメール認証、監視、法的手続きを組み合わせて備える
• 日本では、不正競争防止法やJP-DRPなどの制度も活用できる

「URLを1文字ずつ見る」「メールのリンクから入らない」という基本を徹底するだけでも、被害のリスクは大きく下がります。