なりすまし文字検出ツール
画面上ではまったく同じに見える2つのアドレスが、実は違う文字でできていることがあります。怪しいと思うものを貼り付けてください。分解して文字を1つずつ名前で示し、偽物を指摘します。
画面上の文字は、中身は数字
コンピューターは文字をコードポイントという数字で保存しています。ラテン文字の小文字「a」はU+0061、キリル文字の小文字「а」はU+0430です。フォントは両者を同じ形で描くため目では区別できませんが、ドメインネームシステムにとっては「a」と「z」ほど違うものです。Unicodeは160を超える文字体系で15万字以上を定義しており、その多くはラテン文字によく似ているか、まったく同じに見えます。
何十年もの間、ドメイン名に使えるのはASCIIの英字、数字、ハイフンだけでした。国際化ドメイン名は後から登場しましたが、通信上のルールは変わっていません。ほかの文字を含む名前は、xn--で始まるASCIIの形、いわゆるPunycodeに変換されます。münchen.deはxn--mnchen-3ya.deとして送られます。「apple」に見えるキリル文字で書かれた名前はxn--80ak6aa92e.comとして送られ、それは登録した人のものです。
この手口はホモグラフ攻撃と呼ばれます。ブラウザはアドレスバーでこれを防ぐため、文字体系が混ざった名前をxn--の形で表示します。メールソフト、チャットアプリ、PDFファイル、印刷されたQRコードは、ほとんど何もしません。
検出ツールがテストする項目
まず、貼り付けられたもの（完全なリンク、メールアドレス、ドメインのみ）の中からホスト名を見つけます。次に、ブラウザ内で次のテストを行います：
- 各文字の文字体系
- ラテン文字とキリル文字、ギリシャ文字、アルメニア文字、チェロキー文字、リス文字、ジョージア文字、コプト文字が混ざったラベルは赤になります。すべての文字にラテン文字の双子がある場合、そうした文字体系だけで書かれたラベルも赤です。ラテン文字と中国語、日本語、韓国語の混在は通常の使い方なので指摘しません。
- なりすまし文字の表
- ラテン文字、数字、句読点をまねることで知られる約180文字に加え、全角文字や数学用の文字形も対象です。本物ではないドット、スラッシュ、ハイフンは赤になります。ドメインの境界を動かしてしまうからです。
- 見えない文字と方向制御文字
- ゼロ幅スペースやゼロ幅接合子、ソフトハイフン、双方向制御文字です。U+202E（右から左への上書き）を使うと、
invoice[U+202E]fdp.exeが「invoiceexe.pdf」と表示されます。 - ブランドとの類似
- 名前を、急いでいる読み手に見える形に変換します。なりすまし文字はラテン文字に置き換え、アクセントは外し、
0はo、1はl、rnはm、vvはw、clはdと読みます。この変換後の形を、フィッシングで最もよくまねられる約95の名前と比較します。北米とヨーロッパの大手銀行、決済サービス、宅配業者、税務当局、メールや動画配信のアカウントなどです。 - アドレスの構造
- リンク内の
@の前にあるユーザー部分（https://paypal.com@example.net/の行き先はexample.net）、別のドメインのサブドメインとして使われたブランドのドメイン、IPアドレスそのもの。
結果の読み方
概要には4つのカウンターがあります。含まれる文字体系、なりすまし文字、見えない文字、そして名前が似ているブランド（ある場合）です。その下の「見た目と実体」では、同じ名前を4通りに示します：
- 表示：見たとおりの形で、怪しい文字を強調し、登録可能ドメインを太字にしています。
- 技術的な形：ブラウザが実際にリクエストするPunycodeです。
- 急いで読むと：ブランドとの比較に使う変換後の形です。
- 肝心のドメイン：登録可能ドメイン、つまり誰かが購入する必要のある部分です。その左側はすべて持ち主が自由に決められるので、
paypal.com.secure-login.netはsecure-login.net上のページです。
その後の文字の表では、すべての文字をコードポイントと文字体系付きで示します。赤はなりすまし文字と見えない文字です。黄は結合文字と制御文字です。青は参考情報で、アクセント付きのラテン文字や、単独で使われているほかの文字体系の文字に付きます。
ブランドとの類似には4段階の強さがあります。そのうち3つは赤です。変換後の綴りが同じもの、1文字違い（10文字以上の名前なら2文字違い）のもの、本物のブランドのドメインを前に付けたものです。ブランド名が長いドメインに含まれているだけの場合は黄です。販売代理店や提携先が正当な理由でそうすることがあるからです。
文字チェックの限界
この検出ツールが判断するのは名前の綴りであって、その裏にあるサイトではありません。secure-account-verify.comには仕掛けのある文字もブランド名も含まれていないため、明らかな罠なのに問題なしと判定されます。評判を調べるには危険サイト検索を使ってください。
ブランドの一覧はあえて短くしています。地方銀行や小さな店は含まれていないため、その偽物が見つかるのは外国の文字や見えない文字を使っている場合だけです。非常に短いブランド名（3〜4文字）は、ラベル全体と一致する場合にだけ照合します。そうしないと、たまたまその文字列を含む普通の単語まで指摘してしまうからです。
指摘された名前が正当な場合もあります。実在する企業が、キリル文字やギリシャ文字を読む人のためにその文字でドメインを登録することがあります。確認すべきなのは、その文字体系が送信者やメッセージの言語に合っているかどうかです。
よくある質問
xn--で始まるドメインは何を意味しますか？
a–z、0–9、ハイフン以外の文字を含むドメインをASCIIで符号化したもの（Punycode）です。それ自体は怪しいものではなく、xn--caf-dma.comは単にcafé.comです。ここに貼り付ければ、どの文字に復号されるかがわかります。
クリックする前にリンクが偽物かどうか見分けるには？
リンクを開かずにアドレスをコピーしてここに貼り付け、「肝心のドメイン」の行を読んでください。そのドメインが組織の公式サイトで使われているものでなければ、アドレスのほかの部分が何であれ、リンクは開かないでください。
ブラウザはホモグラフドメインから守ってくれますか？
部分的には守ってくれます。Chrome、Firefox、Edge、Safariは、ラベルに文字体系が混在しているか、既知の紛らわしいパターンに一致する場合、アドレスバーにxn--の形を表示します。ただし役に立つのはページを開いてからで、しかもアドレスバーの中だけです。メール内のリンクの文字列は誰もチェックしません。
メールアドレスに見えない文字が含まれることはありますか？
はい。ゼロ幅スペースやソフトハイフンは、テキストのどこにでも紛れ込ませることができます。メールサーバーは一般にドメイン部分ではそれらを拒否しますが、表示名、リンクの文字列、ファイル名には現れます。そこでキーワードフィルターをすり抜けるのに使われます。
paypa1.comは普通の文字しか使っていないのに、なぜ指摘されるのですか？
仕掛けが符号化ではなく、読み方にあるからです。数字の1を英字のlと読むと名前は「paypal」になり、ブランドの一覧に載っています。しかしそのドメインはPayPalのものではありません。