十分にご注意を！
ITmediaの記事に、 ラブライブ！公式サイト乗っ取りに使われた「ドメイン移管」の仕組みとは “10連休”に危険潜む？ てのがありました。
4月5日未明に、人気アニメ「ラブライブ！」シリーズの公式サイトが何者かに乗っ取られたそうです。記事によると・・・
同サイトのURLからページを開くと、「我々の方法は、移管オファーを行い元所有者が移管オファーを承認しただけだった」という文言が確認できた（5日午後3時時点でページは開けなくなっている）。 乗っ取りの犯人の言葉を信じれば、犯人は「ドメイン移管」の手順を踏んで、ラブライブ！版権元のサンライズから同サイトのドメインを得たと考えられる。
だそうです。つまり、技術的に乗っ取られたわけではなく、正規のドメイン移転オファーを利用して「正式」に乗っ取ったということらしいのです。何故乗っ取られたのかの正確な部分は不明ですが、記事にもある通り・・・
つまり、あるレジストラA社からJPRSに「レジストラB社からA社へドメインを移管してほしい」という申請が来たとき、JPRSはB社を通じて意思確認を行い、10日以内にB社からドメイン登録者へ確認を行い返事がなかった場合には、「意思あり」（移管していい）とみなすという内容だ。
を利用したようですね。つまり、レジストラから「こういうドメイン移転申請が来てますけどいいですか？」というメールに対して10日間放ったらかしの場合、自動的にドメイン移転申請が通ってしまうという事になります。
もちろん、記事中のIIJさんのように・・・
「IIJはレジストリロックサービス（※）は行っていないが、ドメイン移管の申請が来た場合には必ず契約者に営業から確認を取る。エビデンスがない限りは、契約者の返事が10日以内に得られなくても、他社への移管を承認することはない」
というレジストラもあるでしょう。しかし、そうでないレジストラもあるかもしれません。いや、そうでないレジストラがあったからこそ、今回の乗っ取りが成功したのかもしれません。
もしそうであるならば、来月のゴールデンウィークの10連休は、この方式を試そうとしている攻撃者にとっては、絶好の機会となります。
今回の犯人と思しきものは、初犯ではなく過去にも同様の事件を起こしているようですが、今回こうしたJPRSの手続き上の不備が白日のもとに晒されてしまった以上、模倣犯が現れても不思議ではありません。
企業のウェブマスター様に於かれましては、ドメインの管理に十分にご注意をいただきますようお薦めいたします。