WHOIS情報が語る企業の「系譜」。ドメインから紐解く関連会社の脆弱性

企業が公開している情報は、取引先や顧客に安心感を与える一方で、サイバー攻撃を仕掛ける側にとっても貴重な情報源になります。会社概要や採用情報、ニュースリリースだけでなく、ドメインの登録情報である「WHOIS」もその一つです。
「WHOISには個人情報が表示されなくなったから心配ない」と考えられがちですが、それは半分正しく、半分は誤解です。

確かに近年のプライバシー保護の潮流から個人名の非公開化は進んでいますが、日本企業の多くが持つ「.co.jp」などのドメインでは、組織名やネームサーバー情報は現在も広く公開されています。

攻撃者は一つの情報だけを見て判断することはありません。複数の公開情報を組み合わせながら、「どの会社が同じグループなのか」「どこが管理しているのか」「最も侵入しやすい拠点はどこか」を分析しています。

今回は、WHOIS情報から何が読み取られ、なぜ関連会社まで含めたセキュリティ対策が必要なのかについて解説します。

WHOIS情報は企業の"つながり"を映し出す

WHOISとは、ドメインの登録情報を確認するための仕組みです。

「個人情報が隠れているなら得られるものはない」と油断するのは禁物です。 登録日や更新日、ネームサーバー、レジストラ（登録業者）などの情報に加え、企業のホームページやDNS情報、SSL証明書、公開されている技術資料などを組み合わせることで、ドメイン同士の関連性が鮮明に見えてくることがあります。

例えば、複数のドメインが同じタイミングで取得されていたり、共通のネームサーバーを利用していたりする場合、「同じ管理部門で運用されている可能性が高い」と推測できます。

企業側から見れば何気ないシステム情報でも、攻撃者はそれらを一つひとつつなぎ合わせ、組織の全体像（アタックサーフェス＝攻撃対象領域）を描いていくのです。

登録情報の一貫性が攻撃のヒントになる

企業グループでは、本社だけでなく子会社やサービスごとに複数のドメインを保有しています。一見すると別々のサイトに見えても、登録時期や管理方法に共通点があると、それらが同じ企業グループであることを推測できます。

例えば、新サービスの開始に合わせて複数のドメインをまとめて取得していたり、グループ企業が同じDNSサービスを利用していたりするケースは珍しくありません。

攻撃者はこのような共通点を手掛かりに、「このブランドは親会社と同じ運用体制ではないか」「この海外法人も同じ情報システム部門が管理しているのではないか」といった仮説を立てます。

この分析自体に高度な技術は必要ありません。公開情報を丁寧に集め、比較するだけでも多くの情報が得られるため、OSINT（オープンソース・インテリジェンス：公開情報収集）の基本的な調査として広く行われています。

ドメインの履歴から企業の変遷まで見えてしまう

企業買収や組織再編では、過去のドメインをそのまま利用し続けるケースがあります。旧社名のまま取得されたドメインが現在も使われていたり、ブランド名だけ変更して運用を続けていたりすると、企業の変遷が見えてくることがあります。

さらに、過去のWHOIS情報（履歴）やインターネットの魚拓アーカイブなどを確認すれば、以前の管理情報や古い企業名が残っている場合もあります。

こうした情報は、標的型メール（ビジネスメール詐欺）の文面を精巧に作り込む際に利用されます。例えば、過去のブランド名や統合前の会社名を自然に盛り込んだメールは、長年勤務している社員ほど違和感を覚えにくくなります。攻撃者はこうした心理的な隙も巧みに利用しています。

企業としては現在のシステムだけでなく、「過去に公開していた情報」も攻撃材料になり得ることを意識する必要があります。

攻撃者はグループ全体を見ている

近年増えている「サプライチェーン攻撃」では、セキュリティが強固な本社よりも、子会社や関連会社、委託先が最初の侵入口として狙われます。理由は単純で、本社よりもセキュリティ対策や管理の目が手薄なことがあるためです。

攻撃者はWHOIS等から関連会社を洗い出し、それぞれが公開している情報を比較します。そして、「同じグループなのに、この子会社だけセキュリティ設定が甘いネームサーバーを使っている」「ここを突破口にすれば、本社のネットワークへ横展開（拡大侵入）できるかもしれない」と計画を立てます。

つまり、攻撃者にとって標的は一社ではなく、「企業グループ全体」です。本社だけが対策を強化しても、グループ内の一社に弱点があれば、そこが全体の致命傷になり得ます。


セキュリティ担当者が見直したいポイント

WHOIS情報そのものを隠すことは制度上難しいですが、公開情報から不要な「隙」を読み取られないようにすることは可能です。

●休眠ドメインの棚卸し: 古いドメインや、利用を終了したキャンペーンサイトなどの放置ドメインがないか確認する。

●管理ルールの統一: グループ会社や部署ごとにバラバラなドメイン管理（レジストラやDNSの設定基準）を統合し、安全性を統一する。

●定期的な外部視点でのチェック: 自社グループの情報が「外からどう見えているか」を客観的に把握する。

公開情報から「ダークウェブ」の脅威へ対策を広げる

現在の攻撃者は、WHOISなどの公開情報（OSINT）だけで攻撃を完結させるわけではありません。

「公開情報から見つけた脆弱な子会社」に対して、次に仕掛けるのは「ダークウェブ等で流通している流出アカウント情報（ID・パスワード）」を使った不正ログインです。

もしダークウェブ上に自社や関連会社の認証情報が流出していれば、WHOISで特定された組織構造と結び付けられることで、極めて成功確率の高い攻撃シナリオが完成してしまいます。

そのため、表面上のドメイン情報を整理するだけでは防御として不十分です。

「自社に関する情報が外からどう見えているか」を把握すると同時に、「ダークウェブ上で自社の重要な情報（認証情報や機密データ）が流通していないか」を継続的に監視することが、これからのセキュリティ対策では不可欠になります。

まとめ

WHOIS情報は、単なるドメインの登録情報ではなく、攻撃者にとっては企業グループの構成や運用体制、さらには関連会社とのつながりまでを分析するための「設計図」になり得ます。

近年のサイバー攻撃では、一社だけを狙うのではなく、グループ全体を一つの標的として捉えるケースが増えています。そのため、本社だけが対策を強化するのではなく、子会社や関連会社を含めた公開情報の管理やドメイン運用の見直しが欠かせません。

また、公開情報の管理とあわせて取り組みたいのが、ダークウェブ上の情報監視です。万が一、認証情報やメールアドレスが流出していても、早期に把握できれば被害を未然に防げる可能性が高まります。

自社だけでなくグループ企業全体の情報がどのように見えているのかを継続的に確認することは、これからの情報セキュリティ対策において重要な取り組みの一つと言えるでしょう。

ダークウェブ監視サービスを活用すれば、公開情報だけでは見つけられないリスクも把握しやすくなり、インシデントの予防や迅速な対応につなげることができます。