攻撃者サイトはどう止められたか ― WHOIS に残った clientHold の時刻と、ドメイン事業者としての見解

GMO インターネットグループは 10 月 28 日、「お名前.com デスクトップクラウド」不正アクセス事案で攻撃者を名乗る者が使っていたサイトのドメインが、ミラーを含めて同日 4 時頃に停止されたことを確認したと公表した（第13報）。本稿は、その停止がドメインの登録情報にどう記録されているかを .store レジストリの WHOIS と RDAP で確認した記録と、ドメインの事業に携わってきた筆者の見解をまとめたものである。事案そのものの経過・サジェスト・株価は、速報版（https://nkzw.jp/2026/10/27/gmo_incident_suggest_stock_security_investment_2026/）で営業日ごとに更新している。

1. WHOIS と RDAP で確認できたこと

10 月 29 日未明（JST）に、.store レジストリの WHOIS サーバー（whois.nic.store）と RDAP（応答はレジストリ Radix の rdap.radix.host から返る）で、攻撃者のサイトとそのミラーの 2 ドメインを照会した。結果は次のとおりである。

項目	coronamng.store（本体）	designbuilder.store（ミラー）
登録日	2026-08-31 15:26 UTC	2026-08-27 10:26 UTC
有効期限	2027-08-31	2027-08-27
レジストラ	Namecheap, Inc.（米国、IANA ID 1068）	同左
ステータス	clientHold、clientTransferProhibited	同左
最終更新（Updated Date）	2026-10-27 18:35:56 UTC（10/28 03:35 JST）	2026-10-27 18:36:02 UTC（10/28 03:36 JST）
ネームサーバー	dns1 / dns2.namecheaphosting.com	同左
DNS（10/29 時点）	NXDOMAIN（名前解決されない）	NXDOMAIN

10 月 27 日夜の DNS 照会では、本体ドメインはレジストラ系列のホスティング向けネームサーバーに委任され、同社のホスティングの IP アドレスに名前解決していた。10 月 29 日時点では、ルートから辿っても .store のゾーンにこの 2 ドメインが存在せず、名前解決されない。WHOIS の Updated Date は、ステータスが書き換えられた時刻である。2 ドメインがわずか 6 秒差で更新されていることから、同じ担当者または同じ処理で一括して保留にされたと見てよい。

登録者情報は、ICANN の規則により WHOIS・RDAP とも秘匿されている（Redacted）。したがって、誰が登録したかはこの照会からは分からない。

2. 時系列: 期限から約 16 時間で保留に

１．攻撃者サイトのドメイン停止までの時系列（JST）

公表と報道に、WHOIS の時刻を重ねると次のようになる（時刻は JST）。

8 月 27 日・8 月 31 日: 2 ドメインが登録される（事案の公表より約 2 か月前）
10 月 26 日: 攻撃者を名乗る者が、27 日正午に顧客情報の公開とランサムウェア攻撃を行うと予告（報道）
10 月 27 日 12:00: 攻撃者の提示した期限。GMO は要求に応じない姿勢を維持
10 月 27 日 13 時台: 攻撃者が個人情報とみられる情報 1 件を公開したと報道（真偽は不明）
10 月 27 日 14:55: GMO 第11報。攻撃者のサイトにアクセスした人の情報が攻撃者に取得されていることを確認
10 月 27 日 19:10: GMO 第12報。懸賞金制度と特別お見舞金を公表
10 月 28 日 03:35〜03:36: 2 ドメインに clientHold が設定される（WHOIS の Updated Date）
10 月 28 日 04:00 頃: GMO がドメインの停止を確認（第13報）
10 月 28 日 11:00: GMO 第13報を公表。「関係事業者と連携した結果」と説明

期限の正午から保留まで約 15 時間半、第11報からは約 12 時間半である。報道では、攻撃者が使っていた米国のプロバイダーが規約違反と判断して停止したとみられると伝えられており、WHOIS の記録はこれと整合する。停止の理由そのものはレジストラが公表していないため、報道以上のことは分からない。

3. clientHold とは何か ― レジストラが持つ最も速い手段

clientHold は、ICANN が定めるドメインのステータスコード（EPP ステータス）の一つで、レジストラ（登録事業者）が設定する「保留」である（https://www.icann.org/resources/pages/epp-status-codes-2014-06-16-en）。設定されたドメインは TLD のゾーンファイルから外され、ネームサーバーの委任が消えるため、どこからも名前解決できなくなる。一方で登録そのものは消えず、有効期限（この 2 件は 2027 年 8 月）まで登録記録と WHOIS は残る。あわせて設定されていた clientTransferProhibited は、他のレジストラへの移管を禁止する状態である。

似た名前の serverHold は、レジストラではなくレジストリ（この場合は .store を運営する Radix）が設定する保留で、レジストラ側では解除できない。裁判所の命令や法執行機関の要請で凍結される場合は、こちらが使われることが多い。今回の記録は clientHold のみであり、レジストラの判断で止められたことを示している。

ホスティングの停止とドメインの保留は別物である。10 月 27 日夜の時点で、このサイトはレジストラ系列のホスティング上にあった。ホスティングのアカウントだけを止めた場合、WHOIS のステータスは変わらず、ドメインは別のサーバーに向け直せば数分で復活する。ドメインを保留にすれば、サーバーをどこに移しても名前解決されない。今回は後者が取られた。レジストラとホスティングが同じ系列であったことが、対応を一手で済ませられた一因だろう。

なぜ「ホスティングではなくレジストラが止めた」と言えるか

WHOIS にネームサーバーが残ったままなので、「ドメインではなくレンタルサーバー側が止めたのではないか」という疑問は当然ある。結論は、記録上はレジストラの操作であり、その根拠は次のとおりである。

clientHold はレジストラしか設定できない。 ドメイン登録の標準プロトコル EPP を定める RFC 5731 の 2.3 節は、ステータスは「そのドメインを管理するクライアント（レジストラ）と、ドメインが置かれているサーバー（レジストリ）だけが設定できる」とし、client で始まるステータスはクライアントが付け外しするものと定めている。ICANN の解説ページも、clientHold を「レジストラが設定する」「レジストリに対して DNS で有効化しないよう指示するもので、名前解決されなくなる」と説明している。ホスティング会社には、レジストリのデータベースのステータスを書き換える権限も経路もない。
ネームサーバーが WHOIS に残るのは clientHold の仕様である。 RFC 5731 は、clientHold と serverHold について「委任情報（ネームサーバー）を公開してはならない」と定めている。登録データとしてのネームサーバーは消えず、ゾーンへの公開だけが止まる。実際に 10 月 29 日の照会では、WHOIS にはネームサーバーが載っている一方、DNS では NXDOMAIN（.store ゾーンに存在しない）だった。ホスティングのアカウントだけを止めた場合は逆で、DNS は引き続き IP に解決し、ブラウザには停止ページや接続エラーが出る。
レジストラ自身の説明と一致する。 Namecheap のサポート記事は、Client Hold を「レジストラが設定するもので、多くは不正・悪用に関わる理由、または利用規約違反による」とし、問い合わせ先として Legal & Abuse チームを挙げている。serverHold は「レジストリが設定するもので、Namecheap ではない」とも明記している。
レジストラとホスティングが同じ会社だった。 10 月 27 日夜の保全時、本体ドメインは 198.54.116.91 に名前解決していた。この IP アドレスは ARIN の RDAP で Namecheap, Inc. の割当（198.54.112.0〜198.54.127.255）であり、ネームサーバーも同社のホスティング用（namecheaphosting.com）、HTTP の応答ヘッダーは LiteSpeed（同社の共用ホスティングで使われるサーバーソフト）だった。つまり「レンタルサーバー業者が止めた」と「レジストラが止めた」は会社としては同じ主体を指す。記録に残っている操作がレジストラ側の clientHold だった、というのが正確な言い方である。

したがって、報道の「米国のプロバイダーが規約違反と判断して停止」は、同社の Legal & Abuse チームによる利用規約に基づく clientHold と読むのが、記録と最も整合する。レジストラが公表していない以上、これは推定である。

証拠保全の観点でも、削除ではなく保留が正しい。削除すればレジストラとレジストリの記録は失効処理に進み、再登録の可能性も生じる。保留であれば、登録者の情報・支払い情報・アクセス記録はレジストラの手元に残り、捜査機関の求めに応じて提供できる。

4. ドメイン事業者としての見解

筆者は、GMO グループの子会社でドメイン・サーバー事業の幹部会に出席していた経歴があり、現在はドメインのバックオーダーと中古ドメインを扱う事業を営んでいる。その立場から、今回の停止について述べる。

第一に、今回の停止は業界の水準では速い部類に入る。 レジストラの不正利用（abuse）窓口は世界中から大量の通報を受けており、通報から数日かかることも珍しくない。期限から 15 時間半、日本の上場企業が警察と連携して動いた結果としての速度である。個人や小規模な事業者が同じ被害に遭ったとき、同じ速さで止まると期待してはいけない。通報の質（スクリーンショット、URL、被害の説明、法執行機関の関与）がそのまま速度に効く。また、「米国政府の指示でレジストラが動いた」のでもない。米国の当局がドメインを止める場合は裁判所の差押え令状によるもので、LockBit に対する 2024 年 2 月の国際共同作戦のように準備に月単位を要し、差押え後はネームサーバーが当局のものに書き換えられるのが通例である。日本の警察が米国の事業者に法的に強制するには日米刑事共助条約（2006 年発効）の手続が要り、これも月単位である。今回の記録は clientHold のみでネームサーバーも変わっていないから、令状ではなく、通報を受けたレジストラの規約判断で止まったと見るのが自然である。日本の警察や被害企業から米国の事業者への「任意の通報・要請」に強制力はないが、証拠を添えた通報は規約違反の判断材料として重く扱われる。速さを決めたのは通報の質と経路であって、政府の指示ではない。

第二に、恐喝や情報公開のサイトは、ICANN が定義する「DNS 不正利用」に入らない。 2024 年 4 月に発効した ICANN のレジストラ認定契約（RAA）の改定は、3.18.2 条で「DNS Abuse」をマルウェア・ボットネット・フィッシング・ファーミング・（それらの配布手段としての）スパムの 5 類型と定義し、「対象ドメインが DNS Abuse に使われているという実行可能な証拠を得たとき、レジストラは合理的に必要な適切な緩和措置を速やかに取らなければならない」と定めた。脅迫文を掲げ、盗んだとされる情報を並べるサイトは、この 5 類型のどれにも当てはまらない。したがって今回のような停止は、ICANN の義務ではなく各レジストラの利用規約と裁量で行われる。規約と裁量である以上、対応の速さと基準はレジストラごとに違う。被害者の側からは、どのレジストラに当たるかで結果が変わるということである。これは業界の構造的な弱点であり、筆者はこの種のサイトを規約ではなく共通の基準で止められるようにすべきだと考える。

第三に、事前に見つけることは現実的でない。 2 ドメインは事案の公表より約 2 か月前に登録されていた。.store のような新しい gTLD は初年度を数百円で取れ、ブランド名を含まない無害な文字列であれば、企業が行う新規登録の監視には引っかからない。使い捨てのドメインを前もって複数用意するのは、この種の攻撃者の常套手段である。事前検知に投資するより、起きた後に最短で止める手順（レジストラとホスティングの abuse 窓口、IP の保有者、必要なら法執行機関）を、自社の対応手順にあらかじめ書いておくほうが効果がある。WHOIS と RDAP を引けば、どこに通報すべきかは 1 分で分かる。

第四に、clientHold は終わりではない。 保留は可逆であり、レジストラが解除すれば数分で復活する。登録は 2027 年 8 月まで残る。ミラーや Tor 上のサイトは DNS の停止の影響を受けない。攻撃者は別のレジストラで別の名前を数分で取れる。GMO が第13報で「同様のサイトが開設された場合は確認次第テイクダウンに向けて対応する」としているのは、この現実を踏まえたものだろう。確定的に止めるには、レジストリによる serverHold、裁判所の命令による凍結や移転、そして複数のレジストラ・レジストリに同時に働きかける体制が要る。

第五に、失効後の再登録を防ぐべきである。 これは筆者の事業に直接関わる点なので、はっきり書いておく。保留のまま有効期限を迎えれば、このドメインは猶予期間を経て削除され、誰でも再登録できる状態に戻る。犯行声明に使われた名前は、検索結果や SNS の投稿、報道記事の中に残り続ける。再登録されれば、偽の「情報公開」やフィッシングに転用できる。筆者はバックオーダーと中古ドメインを扱う事業者だが、こうしたドメインは取得対象にしないし、業界としても取るべきでないと考える。本来はレジストリが予約（登録不可）にして市場に戻さない仕組みが望ましい。

第六に、被害企業の実務について。 第13報の「関係事業者と連携」は、具体的にはレジストラ・ホスティング・IP 保有者への通報と、法執行機関からの要請である。多くの企業は、自社が攻撃者のサイトを止める側に回る手順を持っていない。インシデント対応計画に「攻撃者のインフラの特定と通報」の項目を加え、WHOIS・RDAP・DNS の照会と abuse 窓口への通報文のひな形を用意しておくことを勧める。

5. 限界と注意

WHOIS・RDAP の登録者情報は秘匿されており、登録者は分からない。
停止の理由はレジストラが公表していない。「規約違反による停止」は報道に基づく。
筆者は 10 月 29 日の照会で DNS と WHOIS・RDAP だけを確認した。攻撃者のサイト自体へのアクセスは行っていない。GMO 第11報のとおり、このサイトにアクセスした人の情報は攻撃者に取得されていた。同名のサイトが再び現れても、アクセスしないこと。
本稿は、GMO グループの対応を評価するものではない。ドメインの停止という一点について、公開情報と登録情報から分かることを記した。

出典

RFC 5731: Extensible Provisioning Protocol (EPP) Domain Name Mapping, 2.3 Status Values: https://www.rfc-editor.org/rfc/rfc5731#section-2.3
ICANN: EPP Status Codes | What Do They Mean, and Why Should I Know?: https://www.icann.org/resources/pages/epp-status-codes-2014-06-16-en
Namecheap: Why was my domain suspended with a serverHold or clientHold status?: https://www.namecheap.com/support/knowledgebase/article.aspx/10717/46/why-was-my-domain-suspended-with-a-serverhold-or-clienthold-status
ICANN: 2024 Global Amendments to the 2013 Registrar Accreditation Agreement（3.18.2 の DNS Abuse 定義: malware, botnets, phishing, pharming, and spam）: https://itp.cdn.icann.org/en/files/accredited-registrars/registrar-accreditation-agreement-global-amendment-05apr24-en.htm
.store レジストリ WHOIS: whois.nic.store ／ RDAP: https://rdap.radix.host/rdap/domain/coronamng.store ・ https://rdap.radix.host/rdap/domain/designbuilder.store（2026-10-29 照会）
ARIN RDAP（198.54.116.91 の割当）: https://rdap.arin.net/registry/ip/198.54.116.91
外務省: 刑事に関する共助に関する日本国とアメリカ合衆国との間の条約: https://www.mofa.go.jp/mofaj/gaiko/treaty/treaty159_3.html
KrebsOnSecurity（2024-02-20）: Feds Seize LockBit Ransomware Websites: https://krebsonsecurity.com/2024/02/feds-seize-lockbit-ransomware-websites-offer-decryption-tools-troll-affiliates/
GMO インターネットグループ第11報・第12報・第13報: https://group.gmo/info/alert/2026102704/ ・ https://group.gmo/info/alert/2026102705/ ・ https://group.gmo/info/alert/20261028/

利益相反の開示

筆者は過去に GMO グループ子会社におり、ドメイン・サーバー事業の幹部会に出席していた。同グループの株式を保有していた時期があるが、現在はいずれも無関係で保有もしていない。現在はドメインのバックオーダーと中古ドメインを扱う事業を営んでおり、本稿の第 4 節はその立場からの見解である。本記事は公開情報と公開の登録情報のみに基づき、在籍時に知り得た情報は使用していない。投資助言ではない。