先に言ってしまうと、「公式っぽいURL」の多くは、本物の名前をほんの少しだけずらすことで成り立っています。一文字の置き換え、余計な単語の追加、サブドメインの細工——やってることは意外と限られています。今回は、公式を装うドメインに繰り返し出てくるパターンを、架空の例といっしょに整理しました。実在のサービス名は使っていません。
01URLの「どこを見るか」だけ覚える
URLで本当に大事なのは、いちばん右側にある「登録ドメイン」です。たとえば example-bank.co.jp なら、運営の正体を握っているのは example-bank.co.jp の部分。その左側にどれだけそれっぽい単語が並んでいても、最終的に所有者を決めているのは末尾側なんですよね。ここを見る癖をつけるだけで、けっこうな数の偽装に気づけます。正直、私もこれを知るまでは左側の単語に引っ張られていました。
02よくある偽装パターン
- ① 文字の置き換え：「o（オー）」を「0（ゼロ）」に、「l（エル）」を「1（イチ）」に差し替える
- ② 単語の追加：本物の名前に「-support」「-jp」「-official」などを足して、別のドメインにする
- ③ サブドメイン偽装：本物名.あやしいドメイン.com のように、本物名を左側に置いて錯覚させる
- ④ 別のTLDを使う：本来 .co.jp の組織を、見慣れない別の末尾で再現する
記録メモ
「本物名」が左に、見慣れない文字列が右にあるときは要注意です。所有者は右側で決まります。あと、リンクは押す前に、表示されているテキストではなく、実際の遷移先URLを確認するのが安全でした。スマホだと長押しで出てきます。
03怪しいと思ったときのチェック手順
怪しいなと感じたURLは、次の順で見ていくと整理できます。慌てて開かずに、まずドメインを声に出して読んでみるのも、地味ですが効きました。
- 末尾の登録ドメインを特定して、それが本当に運営者のものか確認する
- 「0」「1」みたいな文字の置き換えがないか、一文字ずつ見ていく
- メールやSMSのリンクは押さず、公式サイトを自分で検索して開く
- 不安なら、URLをたどらず、公式アプリやブックマーク経由でアクセスする
注意したいところ
「鍵マーク（https）があるから安全」とは限りません。鍵は通信が暗号化されているだけで、相手が本物だという保証にはなりません。けっこう誤解されがちなところなので、ドメインそのものを確認するのが大事です。
04まとめ
公式を装うドメインの手口は、文字の置換・単語の追加・サブドメイン偽装・別TLDの4つに、だいたい集約されます。共通する弱点は「末尾の登録ドメインを見られると崩れる」こと。リンクを押す前にURLの右側を確認する——たったこれだけの習慣が、いちばん効く自衛策でした。それでも不安なときは、リンクをたどらず、自分で公式を検索しにいく。これを原則にしておくと、だいぶ安心です。