大阪・関西万博の旧専用ドメインが無関係サイトに転用か 公式が運用終了を注意喚起

2025年日本国際博覧会協会は2026年7月29日、過去に大阪・関西万博関連事業の専用サイトとして使っていた複数のドメインとURLについて、すでに運用を終了していると公表しました。現時点で当該ドメインを使ったURLやメールアドレスが存在しても、協会の事業とは無関係だとしています。旧ドメインの一部では、アダルト向け電子書籍や薄毛治療薬販売ページなど、万博とは関係のない表示が確認・指摘されており、ドメイン管理の終了処理がブランドリスクやフィッシングリスクにつながる典型例といえます。

大阪・関西万博の旧ドメイン移転問題のサマリー

• 2025年日本国際博覧会協会は、過去に万博関連事業の専用サイトとして利用していた6件のドメイン・URLについて、運用終了と無関係化を公表しました。
• 対象には、ジュニアEXPO2025、EXPO2025 Digital Walletのミャクポ、EARTH MART、EXPO2025 Personal Agent、アテンダント関連とみられる名称を含むドメインが含まれます。
• 本稿執筆時点では、複数の旧ドメインでアダルト向け電子書籍、薄毛治療薬販売ページ、内容の薄い別サイト、公式サービスを想起させる別サイトが確認・指摘されています。
• 公式発表からは、不正アクセスやドメインハイジャックが発生したとは断定できません。問題の中心は、過去に使った独自ドメインを手放した後の再登録・転用リスクです。
• 情報システム部門は、キャンペーンサイトや特設サイトのドメインを使い捨てにせず、終了後も一定期間保有する運用、メール悪用防止設定、外部リンク削除依頼、監視を計画に入れる必要があります。

整理表

何が起きたか

大阪・関西万博の公式サイトは2026年7月29日、過去に協会関連事業の専用サイトとして利用していたドメインとURLの運用終了を告知しました。協会は、対象ドメインを利用したURLやメールアドレスが現時点で使われていたとしても、協会の事業とは全く関係ないとして注意を呼びかけています。あわせて、対象ドメインやURLをWebサイトなどに掲載している場合は削除するよう求めています。

対象として示されたのは、ジュニアEXPO2025、ミャクポ、EARTH MART、EARTH MART CAST、EXPO2025 Personal Agent、中島さち子氏関連のアテンダント募集とみられる名称を含む6件です。いずれも、万博の関連事業や公式プログラムを想起しやすい文字列を含んでいます。利用者から見れば、検索結果、過去のメール、学校・自治体・取引先サイトのリンク、PDF資料、SNS投稿などに残った旧URLからアクセスしてしまう可能性があります。

本稿執筆時点では、少なくとも複数の旧ドメインで、万博とは関係のないサイトや外部サービスへの遷移が確認・指摘されています。個別サイトへの直接リンクは、誤アクセスや拡散を避けるため掲載しません。

対象ドメインと現在確認・指摘されている状態

ここで重要なのは、これらの状態が直ちに不正アクセスやサイバー攻撃を意味するわけではない点です。期限が切れたドメインを第三者が再登録する行為自体は、通常のドメイン登録手続きの範囲で発生し得ます。問題は、過去に公式・公的な文脈で使われていた名前が、利用者の信頼を残したまま別用途に変わってしまうことです。

この点は、セキュリティ対策Labでも過去に扱った株式会社ヴィンクスの「グーポンサービス」ドメインが第三者に取得されサポート詐欺のサイトへ誘導や、小僧寿しの採用サイト、第三者が旧ドメインを取得しアダルトサイトへ誘導かと同じ系統のリスクです。旧ドメインの再利用は、サーバー侵害とは別の問題ですが、利用者の目線では公式サイトの変化や改ざんと区別しにくい面があります。

なぜ問題になるのか

今回の件で最も大きい問題は、ドメイン名そのものが信頼の残骸を持っていることです。expo2025、myaku-po、earthmart、personalagentといった文字列は、大阪・関西万博の事業、公式キャラクター、公式アプリ、パビリオン名を強く連想させます。過去に公式の告知やPDF、参加者向け資料、外部サイトからリンクされていた場合、リンク先の中身だけが変わっても、利用者は旧来の公式性を前提にアクセスしてしまいます。

アダルト系サイトや医薬品販売ページに転用された場合、ブランド毀損の影響は分かりやすいです。特にジュニアEXPO2025のように児童・学校・教育プログラムを連想させる名称では、保護者や教育機関の不安に直結します。薄毛治療薬販売ページのような商材への転送も、万博公式サイトの信頼を使って集客しているように見え、利用者に強い違和感を与えます。

さらに注意したいのは、Webページだけではありません。協会の発表はURLだけでなくメールアドレスにも言及しています。ドメインを第三者が管理している場合、DNSやメール関連レコードを設定することで、そのドメインを使ったメール送信が可能になることがあります。過去に資料や問い合わせ先として使われていたメールアドレスが存在したなら、取引先や関係者が旧アドレスに連絡し、第三者に情報を送ってしまうリスクも考えられます。

同様の旧ドメイン問題は、名古屋市、廃止済みドメインの第三者取得を公表 旧特設サイトや児童館サイトが市と無関係な状態にでも顕在化しています。公共性の高いイベントや自治体のキャンペーンほど、短期的な特設サイトで独自ドメインを使いたくなりますが、終了後の維持費と管理責任を軽く見ると、後から利用者保護とブランド保護の両面で高くつきます。

原因として考えられるドメイン管理の盲点

公式発表だけでは、各ドメインがいつ失効したのか、誰が取得したのか、協会・委託先・関係事業者のどこで管理されていたのかまでは分かりません。そのため、特定の組織や担当者の過失として断定することはできません。

ただし、構造的な問題はかなりはっきりしています。大規模イベントでは、公式本体サイトとは別に、キャンペーン、教育プログラム、アプリ、パビリオン、採用、参加者募集などの用途で専用ドメインが次々に作られます。ドメイン取得時は目立つ名称を選び、公開・集客を優先します。一方で、イベント終了後に誰が何年保有し続けるのか、委託契約終了後に登録者情報をどこへ移すのか、古いリンクをどの範囲まで回収するのかは後回しになりがちです。

ドメイン名は購入した資産というより、一定期間の利用権に近いものです。更新し続ければ使えますが、更新を止めれば一定の手続きを経て第三者が登録できる状態になります。IPAのDX SQUAREでも、期限切れドメイン名を別人が再登録するドロップキャッチの問題が紹介されています。これは技術的な脆弱性を突いた侵害ではなく、手続きと運用設計の問題です。

この種の問題は、Webサーバーを閉じた時点で終わりません。むしろ本当のリスクは、サーバーやコンテンツを停止した後、ドメインの更新費用が予算から消え、担当者が異動し、委託先との契約も終了した頃に表面化します。企業や公的イベントのドメイン管理では、終了処理こそ設計しておく必要があります。

利用者が注意すべき点

一般利用者の立場では、過去に公式資料で見たURLであっても、現在の公式サイトで案内されているかを確認することが大切です。特に、万博ID、チケット、デジタルウォレット、ポイント、アプリ、来場者向けサービスなどの名前を使ってログイン、個人情報入力、アプリのインストール、決済、クレジットカード情報の入力を求められた場合は、その場で操作を続けない方がよいです。

検索結果や生成AIの回答、古いPDF、SNS投稿、学校・自治体・企業サイトのリンクは、公開当時は正しくても、現在も正しいとは限りません。公式サイトのトップページからたどれる情報か、公式のお知らせに掲載されているドメインかを確認してください。今回の協会発表は、対象ドメインやURLをWebサイトなどに掲載している場合は削除するよう求めています。過去記事や団体サイトで該当リンクを掲載している管理者は、リンク削除または公式サイトへの差し替えを行うべきです。

もし旧ドメイン上で個人情報、メールアドレス、パスワード、決済情報を入力してしまった場合は、同じパスワードを使っているサービスの変更、クレジットカード会社への相談、不審メールへの警戒を進めてください。IPAも、フィッシングサイトでIDやパスワードを入力した場合は速やかにパスワードを変更し、カード情報を入力した場合はカード会社に相談するよう案内しています。

情報システム部門への示唆

情報システム部門が今回の件から学ぶべきことは、キャンペーンサイトや特設サイトの閉鎖は、Webコンテンツを削除して終わりではないという点です。ドメイン、DNS、メール、証明書、外部リンク、検索結果、SNS、紙媒体、委託契約まで含めて、終了時の作業計画を作る必要があります。

自組織で取るべき対応としては、現在保有している全ドメインの棚卸しが出発点になります。ルートドメイン、サブドメイン、過去のキャンペーン用ドメイン、委託先が取得したドメイン、海外向けドメインを一覧化し、登録者、管理部門、委託先、レジストラ、更新期限、自動更新の有無、用途、終了予定日を台帳化します。イベント終了後も利用者のブックマークや外部リンクは残るため、少なくとも一定期間はドメインを保持し、公式サイトへのリダイレクトや運用終了ページを表示する方が安全です。

メール悪用を避けるためには、利用終了後もドメインを保持している間にSPF、DKIM、DMARC、Null MXなどの設定を確認します。メールを送らないドメインであれば、SPFにv=spf1 -allを設定し、DMARCを拒否方針に寄せるなど、なりすまし送信を難しくする設計が必要です。ドメインを完全に手放す前には、そのドメインを送信元・問い合わせ先・ログインID・認証メール先として使っているシステムが残っていないかも確認します。

新規プロジェクトでは、独自ドメインを安易に増やさず、可能であれば企業本体や公式組織の管理下にあるドメインのサブディレクトリまたはサブドメインで運用する方が安全です。どうしても独自ドメインが必要な場合は、取得時点で終了後5年から10年程度の維持費、管理者の引き継ぎ、委託先からの移管条件、商標・ブランド保護、監視方法まで決めておくべきです。

外部リンクの回収も運用項目です。公式サイト、関連団体、自治体、学校、取引先、プレスリリース配信サイト、PDF資料、SNSプロフィール、広告出稿先に残った旧URLを洗い出し、削除または差し替えを依頼します。完全な回収は難しいですが、少なくとも検索上位や公的機関のページに残るリンクを放置しないことが重要です。

今回の大阪・関西万博の旧専用ドメインの件は、派手な侵害事案ではありません。しかし、ブランド名の強いドメインを手放すと、第三者が合法的な登録手続きを通じて別用途に使えるようになり、結果として利用者保護、ブランド毀損、フィッシング、メール悪用のリスクが一気に上がります。特設サイトを作る時点で、閉じ方まで決めておくことが、これからのドメイン管理の基本になります。

<!– SEOディスクリプション案: 大阪・関西万博の旧専用ドメインが無関係サイトに転用された件を解説。期限切れドメインの再取得、偽サイト、フィッシング、メール悪用を防ぐ管理策を整理します。 –>

出典

• 専用サイトに関するドメインの運用終了について – EXPO 2025 大阪・関西万博公式Webサイト
• 2024年度「ジュニアEXPO2025教育プログラム」参加校募集開始 – EXPO 2025 大阪・関西万博公式Webサイト
• EXPO2025デジタルウォレットの万博会期後サービス運用について – EXPO 2025 大阪・関西万博公式Webサイト
• 「小山薫堂テーマ事業プロデューサー」シグネチャーパビリオン「EARTH MART」のWebサイト公開 – EXPO 2025 大阪・関西万博公式Webサイト
• 来場者向けパーソナルエージェント – EXPO 2025 大阪・関西万博公式Webサイト
• インターネットサービスへの不正ログインによる被害が増加中 – IPA
• 株式会社ヴィンクスの「グーポンサービス」ドメインが第三者に取得されサポート詐欺のサイトへ誘導 – セキュリティ対策Lab
• 小僧寿しの採用サイト、第三者が旧ドメインを取得しアダルトサイトへ誘導か – セキュリティ対策Lab
• 名古屋市、廃止済みドメインの第三者取得を公表 旧特設サイトや児童館サイトが市と無関係な状態に – セキュリティ対策Lab

関連記事

大阪・関西万博、デジタルチケットサイトでの不正行為対策を強化　該当IDは無効化も 日仏レアアース共同調達協定とは？脱中国依存を決定づける「Caremag」と日本経済への波及効果 JR九州 グループ会社ネットワークへ不正アクセス-従業員1万4638人分の個人情報漏洩の恐れ 金融庁がDMMへ業務改善命令 ビットコイン482億円の不正流出を受け 中国で富士電機 社員 2名 拘束→逮捕か-密輸罪の拡大解釈と2026年7月施行 民族団結進歩促進法が生む新リスク 中国系ハッカー グループがReact Server Componentsの脆弱性 React2Shell(CVE-2025-55182)を即日悪用-AWSが警告 奈良県職員の健康診断結果が誤送信、142名分の要配慮個人情報が一斉送付される 石川コンピュータ・センター（ICC）の添付ファイル分離メールサーバに不正アクセス-添付ファイル2,551件・メールアドレス14,071件が漏えいの可能性 Microsoft Entra「Agent ID Administrator」ロール 範囲逸脱でテナント全体の乗っ取りが可能-AIエージェント管理ロールがService Principal奪取の踏み台に

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)