万博跡地ドメインが乗っ取られる 6件中4件が無関係サイトに転用

大阪・関西万博の運営団体である2025年日本国際博覧会協会は2026年7月29日、過去に専用サイトとして使っていた6つのドメインについて「既に運用を終了している」と注意喚起した。ところがpiyokango氏の調査によれば、6件中4件はすでに第三者に取得され、成人向けアフィリエイトサイトや医薬品個人輸入サイトへの転送先として再利用されていた。名古屋市・愛知県・宮崎県も同様に旧自治体事業ドメインの流用を注意喚起しており、単発の事案ではなく構造的な問題であることがうかがえる。

何が起きたか #

対象は「ジュニアEXPO2025」「ミャクポ!」「EARTH MART」など、公式パビリオンや公式ポイントサービスに使われていた実在のドメインだ。運用終了後にドメイン更新料の支払いが止まれば、誰でも再登録できる状態になる。今回は「ドロップキャッチ」と呼ばれる、失効直後のドメインを狙って取得する手法で第三者の手に渡ったとみられる。piyokangoによる確認時点でフィッシングやマルウェア配布は確認されていないが、ドメイン名に公式イベントの信頼を残したまま無関係な内容に化けている状態自体が、閲覧者を混乱させ得るリスクだ。

ハッカー視点で見る本質的な問題 #

この種の事案が厄介なのは、脆弱性でも侵入でもなく「組織の終わり方」に起因する点だ。イベントや自治体事業は開始時のセキュリティは意識されても、終了時のドメイン・アカウント・証明書の棚卸しは後回しにされがちだ。かつて公式ドメインだったという事実は、SNSの過去投稿・印刷物・古いメールの署名などに半永久的に残り続ける。攻撃者からすれば、ゼロデイを探すより遥かに低コストで「元公式」の信頼を手に入れられる手法であり、将来的にフィッシングへ転用されるリスクは常に残る。

教訓: 終了計画にドメインを含めよ #

対策は難しくない。失効前に公式リダイレクト先を用意する、更新を数年単位で継続保有する、SNSや報道発表で旧URLの使用終了を明確に周知する、といった基本を「終了計画」に組み込むだけでよい。今回は協会側が事後的にでも注意喚起を出した点は評価できるが、理想は失効前に手を打つことだ。大規模イベント・自治体事業に限らず、サービス終了を検討するあらゆる組織にとって、ドメインの後始末はセキュリティ計画の一部として扱うべき教訓だ。