IT用語集 2023/10/27

DNSキャッシュポイズニングとは？わかりやすく10分で解説

コラム

DNSキャッシュポイズニングとは？

DNSキャッシュポイズニング（DNS Cache Poisoning）とは、DNS（Domain Name System）のキャッシュに不正な名前解決結果（偽のIPアドレスなど）を混入させることで、利用者を攻撃者の用意したサーバへ誘導する攻撃です。広い意味ではDNSスプーフィング（DNS Spoofing）に含まれることが多く、結果として「本物のサイトにアクセスしたつもりなのに、偽サイトに接続してしまう」状況を引き起こします。

たとえば、利用者が狙われたドメイン名を問い合わせた際に、キャッシュが汚染されていると、DNSサーバ（または中継するリゾルバ）が偽の応答を返してしまい、ブラウザやアプリが誤った接続先へ向かいます。見た目が本物そっくりな偽サイトへ誘導されると、認証情報の詐取やマルウェア感染につながる恐れがあります。

DNSキャッシュポイズニングのイメージ

DNSの基本概念

DNSは、ホスト名（例：www.example.com）をIPアドレス（例：203.0.113.10）に変換する仕組みです。人間に覚えやすいドメイン名でアクセスできるようにする一方、システム内部ではIPアドレスを使って通信先を特定します。

DNSの重要な特徴の一つが「キャッシュ」です。リゾルバ（DNS問い合わせを代行するサーバ）は、直近の問い合わせ結果を一定時間保存し、同じ問い合わせが来たときに素早く応答できるようにします。このキャッシュの利便性が、攻撃の標的にもなります。

DNSキャッシュポイズニングの仕組み

DNSキャッシュポイズニングでは、攻撃者がDNSリゾルバのキャッシュに偽の名前解決結果を保存させることを狙います。キャッシュが汚染されると、以後そのリゾルバを利用する端末は、同じドメイン名の問い合わせに対して誤ったIPアドレスへ誘導される可能性があります。

攻撃が成立する条件や手口は複数ありますが、要点は共通しています。すなわち、DNSが「問い合わせと応答の正当性」を十分に担保できない状態だと、攻撃者の偽応答が紛れ込み、キャッシュとして残ってしまうことがある、という点です。

DNSキャッシュポイズニングのリスク

DNSキャッシュポイズニングは、通信の入口（名前解決）を乗っ取るため、影響範囲が広がりやすい攻撃です。代表的なリスクは次の通りです。

偽サイト誘導（フィッシング）：正規サイトのつもりでアクセスし、ID・パスワードや決済情報を入力してしまう
マルウェア感染：偽サイトから不正ファイルや悪意あるスクリプトを配布される
ブランド毀損：利用者が「公式サイトが危険だった」と誤認し、信用低下につながる
業務影響：業務SaaSや社内システムへの接続が失敗・迂回し、業務停止や障害対応コストが発生する

DNSキャッシュポイズニングの実害

DNSキャッシュポイズニングは、利用者の接続先そのものを変えてしまうため、「ユーザー操作ミス」ではなく「仕組みとして誤誘導される」被害が起き得ます。ここでは、実務的に起こりやすい被害を整理します。

顧客ロイヤルティの低下

利用者が正規サイトにアクセスできず、偽サイトやエラーに遭遇すると、サービス全体への不信感が高まります。とくにログインや決済といった重要な導線で問題が起きると、離脱や問い合わせ増加を招き、顧客ロイヤルティに影響します。

ブランドイメージの損傷

攻撃がDNSやネットワーク側の問題であっても、利用者からは「その会社のサイトが危険だった」と認識されやすい点が厄介です。SNS等での拡散や風評が起きると、復旧後も印象が残り、ブランド毀損につながります。

マルウェアのインストール

偽サイトに誘導された結果、端末にマルウェアが入ると、個人端末の被害に留まらず、組織ネットワークへの侵入や横展開の起点になる可能性があります。感染の疑いが出るだけでも、調査・隔離・復旧の負荷が発生します。

クレデンシャルの盗難

最も深刻になりやすいのが認証情報の詐取です。偽のログイン画面に誘導され、ID・パスワード、ワンタイムコード、あるいは個人情報を入力してしまうと、アカウント乗っ取りや二次被害につながります。

DNSキャッシュポイズニング攻撃の典型パターン

DNSキャッシュポイズニングは「DNSの応答が信用される」ことを悪用します。典型的なパターンでは、攻撃者が偽のDNS応答を紛れ込ませ、正規ドメイン名が攻撃者のサーバIPに解決される状態を作ります。その後、利用者は普段どおりURLを入力しても偽サイトに到達します。

ここで重要なのは、攻撃がDNSというインフラ層で起きると、Webブラウザやメールクライアントなど複数の利用経路に波及し得る点です。影響が「そのサイトだけ」に見えて、実際は「そのDNSを使う利用者全体」に及ぶ可能性があります。

DNSキャッシュポイズニングへの対策

DNSキャッシュポイズニングは単一の対策で完全に防ぐというより、DNS設計・ネットワーク運用・エンドポイント対策を組み合わせてリスクを下げます。代表的な対策を、効果が期待できる順に整理します。

DNSSECの導入（権威DNS側）

DNSSEC（Domain Name System Security Extensions）は、DNS応答に電子署名を付与し、受け取った側が「改ざんされていない正当な応答か」を検証できるようにする仕組みです。DNSキャッシュポイズニングやDNSスプーフィングに対して、根本的な防御として位置づけられます。

ただし、DNSSECは権威DNS（ドメインを管理する側）での署名と、リゾルバ側での検証が揃ってはじめて効果が出ます。導入時は運用設計（鍵管理、ロールオーバー、障害時の影響）まで含めた検討が必要です。

リゾルバ側の防御（キャッシュ汚染を起こしにくくする）

組織で利用するDNSリゾルバ（社内DNS、フォワーダ、セキュアDNS等）について、キャッシュ汚染が起こりにくい設定・実装になっていることが重要です。例として、問い合わせと応答の関連付け強化、不要な再帰設定の見直し、外部公開範囲の最小化などが挙げられます。

DNS通信の盗聴・改ざん対策（経路保護）

DNSキャッシュポイズニングそのものは「偽応答を混ぜる」問題ですが、ネットワーク上でDNS通信が覗かれたり改ざんされたりする環境だと、攻撃が成立しやすくなる場合があります。環境に応じて、DNSの通信経路を保護する選択肢（例：組織標準のセキュアDNSの利用等）を検討します。

エンドポイント対策（被害の顕在化を抑える）

DNSレイヤで誤誘導が起きても、最終的な被害（マルウェア実行、認証情報入力）を止められることがあります。端末側では、脅威対策製品の更新、ブラウザ保護、危険サイトブロック、資格情報保護、OS・アプリのアップデートを継続することが重要です。

※誤解されやすい点：MTA-STSはDNSキャッシュポイズニング対策ではない

MTA-STSはメール配送（SMTP）においてTLSを強制する仕組みで、メールの盗聴やダウングレード攻撃などのリスク低減に役立ちます。ただし、DNSキャッシュポイズニングそのものを防ぐ主対策はDNSSECやリゾルバ側の防御であり、MTA-STSは目的が異なります（メール配送の安全性向上の話です）。