ドメインは電話番号と同じ、使い終わった後も顧客はそこへアクセスし続ける|セキュリティ対策Lab

投稿日時: 2026年08月19日更新日時: 2026年08月19日

イベントサイトやキャンペーンサイト、期間限定の商品サイトを立ち上げるとき、専用ドメインを取る判断は珍しくありません。短く、覚えやすく、広告やチラシにも載せやすいからです。ただし、ドメインは一度取得すれば終わりではありません。むしろ、サイトを閉じた後から本当の管理責任が始まります。

ドメインは、昔使っていた電話番号に近いものです。会社側がその番号を使わなくなったと思っていても、古い名刺、パンフレット、メール、検索結果、SNS投稿、QRコード、外部サイトのリンクには残り続けます。もしその電話番号が別の人に割り当てられれば、過去の顧客が誤って電話してしまうかもしれません。ドメインでも同じことが起きます。古いURLにアクセスした利用者が、第三者のサイト、広告サイト、アダルトサイト、偽サポートサイト、フィッシングサイトへ誘導される可能性があるためです。

ドメイン管理を電話番号で考えるサマリー

ドメインは買い切りの所有物ではなく、一定期間ごとに更新して使い続けるインターネット上の連絡先です。更新をやめれば、一定の期間を経て第三者が再登録できる状態になります。
古いドメインは、過去の広告、検索結果、SNS、メール、QRコード、取引先資料、外部サイトのリンクに残ります。電話番号を変えた後も古い番号に電話がかかるのと同じ構造です。
権利失効後のドメイン取得自体は、一般的な中古ドメイン取引として起こり得ます。問題は、旧ブランドの信用を利用した誤認誘導、詐欺、商標権侵害、不正目的の登録使用です。
スポットイベントや短期キャンペーンで安易に専用ドメインを取ると、数年後に予算・担当者・委託先が消え、更新漏れが起きやすくなります。官公庁や公的機関、大企業では、公式ドメイン配下のサブドメインやサブディレクトリで特設ページを作る方が、廃止後の管理をしやすくなります。
情報システム部門は、ドメインをWebサイトの部品ではなく、電話番号や商標に近い企業資産として管理すべきです。台帳、更新責任者、支払い方法、監視、廃止手順をセットで設計する必要があります。

整理表

項目	内容
テーマ	使い終わったドメインの継続管理と再利用リスク
比喩	昔使っていた電話番号
何が問題か	利用者が古いURLへアクセスし続け、第三者サイトや偽サイトに誘導される可能性がある
ドメインの性質	買い切りの所有物ではなく、一定期間の登録を更新して使い続ける仕組み
再利用の仕組み	更新されなかったドメインは、猶予期間等を経た後に第三者が再登録できる状態になる
取得自体の合法性	権利失効後のドメイン取得自体は通常の取引として起こり得る。ただし、不正目的の登録使用、商標権侵害、詐欺誘導は別問題
主なリスク	ブランド毀損、フィッシング、偽サポート詐欺、アダルト・ギャンブル系サイトへの誘導、メール・アカウント復旧経路の悪用
発生しやすい場面	イベント、展示会、キャンペーン、採用サイト、期間限定商品、自治体・公共事業の特設サイト
代替しやすい設計	公式ドメイン配下のサブディレクトリ、または公式ドメインのサブドメイン
推奨される考え方	独自ドメインを取るなら、公開終了後の保持費用と責任者まで決めてから取得する
情シス部門の対応	ドメイン台帳、更新期限監視、自動更新、支払い方法の冗長化、廃止時のリダイレクト、旧メールアドレスの監視

概要

ドメインを電話番号に例えると、リスクの本質が分かりやすくなります。企業があるキャンペーン専用の電話番号を広告に載せ、テレビCM、チラシ、SNS、名刺、取引先資料にも広く掲載したとします。キャンペーン終了後にその番号を解約しても、世の中に配られた番号の記憶はすぐには消えません。数年後に別の事業者が同じ番号を使い始めれば、古い顧客が誤って電話をかける可能性があります。

ドメインもこれと同じです。サイトを閉じた企業側は「もう使っていない」と考えます。しかし利用者側、検索エンジン側、外部メディア側、SNS側、過去のメール本文側には、URLが残り続けます。そこに第三者が新しいコンテンツを置けば、見た人は旧運営者の関係サイトだと誤認するおそれがあります。

この問題は、サーバー侵害やマルウェア感染とは違います。攻撃者が企業のシステムに侵入しなくても、期限切れのドメインを取得するだけで、過去の信用やアクセス導線を利用できる場合があるためです。ドメイン管理の失敗は、技術的な脆弱性というより、資産管理と内部統制の失敗として捉える必要があります。

ドメインは買い切りではなく、更新し続けて使う連絡先

JPNICは、ドメイン名の登録を「所有」ではなく、認められた期間の間、管理権限の委任を受けることに近いと説明しています。登録を維持するには、多くのドメイン名で更新手続きと費用の支払いが必要です。ICANNも、ドメインを使い続けるには有効期限前に更新する必要があり、更新を怠ると失う可能性があると案内しています。

これは、ドメインを企業の恒久的な所有物として扱う感覚とずれています。社内では「このドメインは当社のもの」と言いがちですが、実務上は、毎年または複数年ごとに費用を支払い、登録情報を維持し、管理権限を失わないようにする必要があります。

電話番号で考えるなら、回線契約を続けている間だけその番号を使える状態に近いです。契約をやめれば、一定のルールに従って別の利用者に割り当てられる可能性があります。ドメインも同様に、更新をやめれば猶予期間を経て再登録可能になります。

ここで重要なのは、ドメイン取得時の費用ではありません。問題になるのは、取得後に何年、何十年と更新し続ける運用費と責任体制です。特にイベントやキャンペーンの予算で取得したドメインは、イベント終了後に予算も担当部署も消えやすく、更新漏れの温床になります。

使い終わったドメインが第三者に再取得される流れ

ドメイン名は、期限が切れた瞬間にすぐ誰でも取得できるわけではありません。gTLDでは期限切れ後に一定の猶予期間や請戻猶予期間があり、JPドメイン名でも登録回復期間などを経た後、再登録可能な状態になります。JPNICは、この再登録可能になる瞬間を狙って目的のドメインを取得しようとする行為をドロップキャッチと説明しています。

なお、ドロップキャッチ自体は違法ではなく中古ドメインも合法的に売買されています。

なぜ期限切れドメインが取引されるかというとは、過去に蓄積された検索評価、被リンク、利用者のブックマーク、SNS投稿、QRコード、過去メールからの流入が残っています。そのため、中古ドメインはSEO目的、広告目的、アフィリエイト目的、詐欺誘導目的で狙われることがあります。

Googleも、期限切れドメインを購入し、主に検索順位を操作する目的で価値の低いコンテンツを掲載する行為を、検索スパムポリシー上のExpired domain abuseとして扱っています。これは、期限切れドメインそのものが違法という意味ではありません。過去の信用や検索評価を、本来の文脈と無関係なコンテンツに転用する行為が、利用者にとって不利益になりやすいということです。

電話番号の例でいえば、昔の公的イベント窓口番号を別の事業者が取得し、別の商品勧誘に使うようなものです。番号を取得する行為自体が直ちに違法とは限りませんが、過去の利用者が誤認する導線が残っているため、社会的・実務的な問題が生じます。

ドメイン取得自体は違法ではないが、信用の再利用が問題になる

権利が失効したドメインを第三者が取得すること自体は、一般的な中古ドメイン取引として起こり得ます。

セキュリティ対策Labでも、マカフィーの旧ドメインサイトが一時的にパパ活ブログにの事例で、ドメイン取得自体は一般に合法な取引として扱われ得る一方、旧ブランドの信用が意図せず利用される問題を取り上げています。

同じ構造は、株式会社ヴィンクスの「グーポンサービス」ドメインが第三者に取得されサポート詐欺のサイトへ誘導のような事例でも見られます。終了済みサービスの旧ドメインにアクセスした利用者が、旧運営者とは無関係なページや偽サポート系のページへ誘導されると、企業側がシステム侵害を受けていなくても、利用者から見れば「公式サイトで危険な表示が出た」と受け止められかねません。

名古屋市、廃止済みドメインの第三者取得を公表旧特設サイトや児童館サイトが市と無関係な状態にのように、自治体や公共性の高い組織の旧ドメインでも同様の問題は起きます。公共機関や大企業のドメインは、利用者が公式性を強く信じやすいため、誤認時の影響が大きくなります。

さらに、大阪・関西万博の旧専用ドメインが無関係サイトに転用もされ問題になりました。

一方で、第三者が取得したドメインの利用態様が、旧運営者の商標やロゴを使った偽装、個人情報の入力誘導、サポート詐欺、マルウェア配布、高額転売目的の登録使用に該当する場合は、別の法的・制度的問題になります。JPNICのJPドメイン名紛争処理方針は、不正の目的によるドメイン名の登録・使用があった場合に、権利者の申立てに基づきドメイン名の取消または移転を実現する仕組みを説明しています。

つまり、重要なのは「第三者が買ったから違法」と単純化しないことです。ドメインは失効すれば再取得され得る仕組みであり、その仕組みを前提に、元の企業側が古い導線をどう管理するかが問われます。

スポットイベントや期間限定サイトで専用ドメインを取る危うさ

専用ドメインの取得が最も危うくなるのは、スポットイベント、展示会、自治体のキャンペーン、期間限定商品、採用キャンペーン、周年記念サイトのように、最初から終了が予定されている施策です。

プロジェクトの立ち上げ時は、短く覚えやすい独自ドメインが魅力的に見えます。広告代理店や制作会社からも、ブランド訴求のために専用ドメインを提案されることがあります。しかし、イベント終了後の5年後、10年後に誰が更新費用を払い、誰が期限を監視し、誰がDNSやメールの設定を管理するのかまで決めているケースは多くありません。

大阪・関西万博の公式サイトでは、過去に協会関連事業の専用サイトとして利用していたドメインやURLについて、すでに運用を終了しており、現時点で当該ドメインを利用したURLやメールアドレスが使われていたとしても協会事業とは全く関係ないと注意喚起しています。これは、イベント終了後のドメインが社会的に残り続けることを示す典型的な例です。

イベント名や商品名が世の中に広く出た場合、そのドメインは単なる技術資産ではなくなります。広告、紙媒体、メディア記事、SNS、動画概要欄、QRコードに残った時点で、長期の問い合わせ先に近い性質を持ちます。電話番号と同じで、社内で利用終了と決めても、外部の記憶と導線はすぐには消えません。

このため、短期施策では独自ドメインを取らず、公式ドメイン配下のサブディレクトリやサブドメインで運用する方が安全です。たとえば、example.co.jp/campaign/ や campaign.example.co.jp のように、本体ドメインの管理下で完結させれば、キャンペーン終了後も企業側がリダイレクトや注意喚起を維持しやすくなります。

お勧めはサブドメイン・サブディレクトリでのページ作成

官公庁、自治体、独立行政法人、大学、公共性の高い団体では、イベントやキャンペーンごとに新しい独自ドメインを取るよりも、

既存の公式ドメイン配下でページを作る設計が向いています。

利用者は、URLの末尾よりも、ドメイン全体を見て公式性を判断することが多いためです。go.jp、lg.jp、ac.jp、co.jpなど、すでに社会的に認知された公式ドメイン配下にページを置けば、利用者にとっても「どの組織が運営しているか」を確認しやすくなります。

特に公的機関のキャンペーンは、短期で終わっても資料、PDF、議会資料、広報紙、SNS投稿、外部メディアの記事、QRコードにURLが残りやすい性質があります。独自ドメインを取得して数年後に手放すと、そのドメインが第三者に再取得されたとき、利用者は公的機関と無関係なサイトを公式情報と誤認する可能性があります。反対に、公式ドメイン配下のサブディレクトリやサブドメインで運用していれば、イベント終了後も本体ドメインの管理下で終了告知や関連ページへのリダイレクトを残せます。

サブディレクトリは、既存サイトの一部として特設ページを作る方法です。たとえば、example.go.jp/event/ のような形式です。公式サイトのCMSや運用フローに乗せやすく、広報ページ、資料ページ、イベントページのように本体サイトと密接に関係する施策に向いています。ドメインの追加取得が不要なため、失効リスクを増やしにくい点もメリットです。

サブドメインは、同じ公式ドメインの配下に別の名前を切って運用する方法です。たとえば、event.example.go.jp のような形式です。システム構成、CMS、委託先、セキュリティ設定を本体サイトと分けたい場合に使いやすく、申込フォーム、特設サイト、別基盤で動くキャンペーンサイトに向いています。ただし、DNS、証明書、WAF、監視、委託先管理は別途必要になりやすいため、サブディレクトリよりも管理項目は増えます。

どちらを選ぶかは、見た目の好みではなく、運用期間、委託先、個人情報の取扱い、システム分離の必要性、終了後のリダイレクト方針で決めるべきです。重要なのは、公式ドメインの外に新しい独自ドメインを増やす前に、サブディレクトリやサブドメインで代替できないかを確認することです。

サブドメインとサブディレクトリの違い

項目	サブディレクトリ	サブドメイン
URL例	example.go.jp/campaign/	campaign.example.go.jp
位置づけ	公式サイト内の一部ページとして扱いやすい	公式ドメイン配下の別サイト・別システムとして扱いやすい
利用者からの見え方	本体サイトの中のページだと分かりやすい	本体サイトとは別の特設サイトに見えるが、公式ドメイン配下であることは確認できる
向いている用途	お知らせ、イベント案内、キャンペーンLP、資料公開、終了告知ページ	申込サイト、外部CMS、別システムで動く特設サイト、アクセス集中が見込まれるイベントサイト
ドメイン失効リスク	新しい独自ドメインを増やさないため、失効リスクを増やしにくい	公式ドメイン自体を維持していれば、独自ドメイン失効の問題は避けやすい
管理のしやすさ	本体サイトのCMS、承認フロー、アクセス解析、監視に乗せやすい	DNS、証明書、サーバー、WAF、ログ管理を個別に設計する必要がある
セキュリティ上の注意点	本体サイトと同じ基盤を使うため、権限管理やCMSの影響範囲を確認する必要がある	本体サイトから分離しやすい一方、設定漏れや証明書更新漏れ、委託先管理漏れが起きやすい
終了後の管理	終了告知ページやリダイレクトを残しやすい	サブドメインのDNS削除、リダイレクト、証明書、外部サービス連携の棚卸しが必要
SEO・広報上の扱い	公式サイト全体の文脈に乗せやすい	特設サイトとして訴求しやすいが、本体サイトとの関係を明示する設計が必要
公的機関での使いどころ	原則として優先しやすい方式	本体サイトから技術的に分離したい場合の選択肢
独自ドメインとの違い	公式ドメインの中で完結する	公式ドメインの中で完結する
主なメリット	失効管理が増えにくく、公式性が伝わりやすい	別基盤で運用しやすく、特設サイトとして独立性を持たせやすい
主なデメリット	デザインやシステム構成の自由度が本体サイトに制約されることがある	サブディレクトリより管理項目が多く、DNS・証明書・委託先管理が甘いとリスクになる

サブディレクトリとサブドメインは、どちらも公式ドメインの信用を活用しながら、独自ドメインの増殖を抑える方法です。公的機関や大企業では、原則としてサブディレクトリを優先し、技術的な分離が必要な場合にサブドメインを選ぶ方が管理しやすいでしょう。

一方、campaign-example2026.jp のような完全な独自ドメインを新たに取得すると、そのドメイン単体の更新期限、登録名義、支払い方法、DNS、メール、証明書、廃止手順をすべて別管理する必要があります。短期施策では、この別管理が数年後に担当者不在となり、失効や第三者再取得の原因になりやすいのです。

古いドメインが引き起こすセキュリティリスク

期限切れドメインのリスクは、単に「変なサイトに飛ぶ」だけではありません。最も分かりやすいのはブランド毀損です。旧公式ドメインにアクセスした利用者が、アダルト、ギャンブル、医薬品販売、詐欺広告などに誘導されれば、第三者が運営していても元企業の管理不備として受け取られる可能性があります。

次に、フィッシングや偽サポート詐欺への悪用があります。旧ドメインは過去に公式サイトとして使われていたため、利用者の警戒心が下がりやすい入口です。攻撃者が旧デザインを模したページを置いたり、ログインフォームや問い合わせフォームを設置したりすれば、ID、パスワード、氏名、電話番号、クレジットカード情報などの入力を誘導できます。

メールの観点も重要です。過去にそのドメインでメールアドレスを使っていた場合、第三者がドメイン取得後にメール受信環境を設定すれば、古い問い合わせ、誤送信、アカウント復旧メールなどが届く可能性があります。ソフトウェア開発やSaaS利用では、登録メールアドレスのドメインが失効した後に再取得され、アカウント復旧や認証経路として悪用される「ドメイン復活攻撃」の懸念もあります。セキュリティ対策Labでは、PyPIがドメイン復活攻撃対策を本格導入した事例を取り上げています。

さらに、古いドメインに残った外部連携もリスクになります。OAuthのリダイレクトURI、SaaSの許可ドメイン、CDNやDNSの設定、パッケージレジストリ、Mavenやnpmなどの名前空間、証明書の発行履歴、外部サービスのWebhookに旧ドメインが残っている場合、想定外の経路で信頼関係が復活することがあります。ドメインの廃止は、Webサイトを閉じるだけでは終わりません。

取得する前に決めるべきこと

ドメイン管理の失敗は、取得時の意思決定でかなり決まります。特に短期施策で独自ドメインを取る場合、公開前に次の事項を決めておく必要があります。

確認項目	取得前に決めるべき内容
取得理由	本当に独自ドメインが必要か。本体ドメイン配下のページ、サブディレクトリ、サブドメインで代替できないか
利用期間	サイト公開期間だけでなく、終了後の保持期間を何年にするか
更新責任者	事業部、広報、情シス、法務の誰が最終責任を持つか
支払い方法	個人名義カードや制作会社任せにせず、会社管理の支払い経路にするか
登録名義	委託先や個人ではなく、原則として自社名義で登録するか
更新設定	自動更新を有効にするか。期限通知が複数人に届くか
認証	レジストラアカウントに多要素認証を設定するか
廃止後の表示	サイト終了後に本体サイトへリダイレクトするか、終了告知ページを残すか
メール利用	メールアドレスとして使うか。使う場合、廃止後の受信監視をどうするか
サブドメイン利用	DNS、証明書、WAF、ログ、委託先管理を本体ドメインの台帳で管理できるか
監査	年1回以上、ドメイン台帳とDNS設定を棚卸しするか

独自ドメインを取るなら、少なくとも10年分程度の維持費用を最初から見積もっておくべきです。イベント終了後も、公式サイトへのリダイレクトや終了告知ページを残すだけなら、サーバー費用を抑えた形で運用できます。重要なのは、ドメインそのものを手放さないことです。

ただし、すべてのドメインを本当に永久保持できるとは限りません。企業統合、ブランド廃止、海外展開終了、予算制約により、手放す判断が必要になることもあります。その場合でも、手放す前に外部リンク、検索結果、メール利用、SaaS連携、商標、顧客影響を確認し、リスクを記録して承認する手続きが必要です。

使い終わったドメインの廃止手順

サイトを閉じるときは、ドメインを即解約するのではなく、段階的な廃止手順を踏むべきです。

最初に、対象ドメインの利用状況を棚卸しします。Webサイトだけでなく、メール、DNSレコード、証明書、SaaS認証、広告タグ、SNSプロフィール、アプリ内リンク、QRコード、PDF資料、プレスリリース、外部メディア記事、取引先ポータルなどを確認します。

次に、旧URLから新しい公式ページへ301リダイレクトを設定します。終了済みサービスであれば、単にトップページへ飛ばすのではなく、「このサービスは終了しました」「現在の公式窓口はこちらです」と分かる終了告知ページを用意する方が安全です。電話番号で言えば、旧番号にかけたときに新番号を案内する自動音声をしばらく残すようなものです。

メールを使っていた場合は、旧メールアドレスの受信を一定期間監視し、必要に応じて自動返信で新窓口を案内します。ただし、個人情報を含むメールが届く可能性があるため、受信箱のアクセス権限や保存期間も決めておく必要があります。

その後、外部リンクの修正依頼を行います。主要な取引先、自治体、メディア、採用媒体、SNSプロフィール、アプリストア、ナレッジベース、社内ポータルに残る旧URLは、可能な範囲で更新します。すべてを消すことはできませんが、主要導線を減らすだけでもリスクは下がります。

最後に、ドメインを保持し続けるか、手放すかを判断します。ブランド名、会社名、商品名、イベント名、公共性の高い事業、個人情報を扱ったサービスのドメインは、原則として長期保持が望ましいです。どうしても手放す場合は、法務、広報、情シス、経営層の承認を残し、手放した後に第三者取得を監視する体制を検討します。

情報システム部門への示唆

情報システム部門は、ドメインを「Web制作会社が取ったもの」や「広報キャンペーンの付属物」として扱わない方がよいです。ドメインは、電話番号、商標、メールアドレス、証明書、SaaSアカウントをつなぐ企業の基礎資産です。管理が切れると、サーバー侵害がなくても利用者を危険なサイトへ誘導する入口になります。

実務上は、全ドメインを台帳化し、登録名義、レジストラ、管理アカウント、更新期限、自動更新の有無、支払い方法、DNS管理者、用途、廃止予定、メール利用の有無を記録するところから始めるべきです。特に、制作会社、広告代理店、過去の担当者、海外法人、事業部門が個別に取得したドメインは漏れやすいため、請求書、DNS、証明書、検索結果、過去のプレスリリースから棚卸しする必要があります。

更新通知の宛先は、個人のメールアドレスだけにしないことが重要です。退職、異動、部署再編、メールアカウント廃止で通知が届かなくなると、ドメイン失効につながります。共有メールやチケットシステムに通知を集約し、複数人が確認できる状態にしておくべきです。レジストラアカウントには多要素認証を設定し、委託先任せの個人アカウント運用は避ける必要があります。

広報やマーケティング部門に対しては、独自ドメインを取る前に情シス審査を通すルールを作ると効果的です。短期施策であれば、公式ドメイン配下のサブディレクトリやサブドメインを標準とし、独自ドメインは例外扱いにします。例外として取得する場合は、終了後の保持期間、維持費用、廃止時のリダイレクト、外部リンク更新方針まで承認条件に含めるべきです。

官公庁や公的機関、大企業では、広報部門や事業部門が「特設感を出したい」という理由だけで独自ドメインを取らないよう、URL設計の標準ルールを持つことが重要です。原則としてサブディレクトリ、技術的な分離が必要な場合はサブドメイン、完全な独自ドメインは例外という順番にすると、将来の失効リスクを抑えやすくなります。サブドメインであっても、DNS、証明書、委託先、ログ、終了時のリダイレクトは台帳で管理し、本体ドメインと同じ統制下に置く必要があります。

法務・リスク管理部門とは、商標やブランド名を含むドメインの防衛登録、類似ドメイン監視、失効後の第三者取得時の対応方針を決めておく必要があります。第三者取得自体を一律に止めることはできませんが、不正目的の登録使用や詐欺誘導が疑われる場合に、どの窓口へ相談し、どの証拠を保存し、どの制度を使うかを事前に決めておくことが重要です。

ドメインは電話番号と同じで、一度外に出したら社内都合だけでは消せません。新しい番号へ変えたつもりでも、古い番号に電話をかける人は残ります。ドメインも同じです。取得するなら、公開中だけでなく、公開終了後の管理まで含めて面倒を見る。その前提を持てないなら、安易にスポット施策用の独自ドメインを取得しないことが、最も現実的なセキュリティ対策です。