「Webサイトが急につながらなくなった……」
「自社のドメインにアクセスしたユーザーが、まったく別の不審なサイトへ飛ばされてしまった」
インターネット上のすべての通信を支える「インフラの要」であるDNS（Domain Name System）は、サイバー攻撃者にとっても最も狙い目となる重大な標的のひとつです。
このDNSを狙った一連の攻撃手法を総称して「DNS攻撃」と呼びます。
DNSに障害が発生したり情報が改ざんされたりすると、自社のWebサイトやメール、クラウドサービス全体が停止・麻痺し、ビジネスに致命的な影響を及ぼします。
本記事では、IT・情シス担当者様向けに、DNS攻撃の基礎知識から代表的な攻撃手法、想定される被害、そして企業が講じるべき実務的な対策をわかりやすく解説します。
1. 3分でわかる「DNS攻撃」とは？
DNS攻撃を一言でいうと？
DNS攻撃とは、「インターネットの住所録・電話帳にあたるDNS（Domain Name System）の仕組みやサーバーそのものを狙い、サービスの停止、通信の妨害、情報の改ざんなどを行うサイバー攻撃の総称」です。
なぜDNSが狙われるのか？
インターネット上のあらゆる通信は、人間が読みやすいドメイン名（例: example.com）を、コンピューターが識別できるIPアドレス（例: 192.0.2.1）へ変換する「DNS」なしでは成り立ちません。
つまり、DNSはすべてのITサービスの「入口」であり「インフラの基盤」です。
攻撃者からすると、個別のサーバーを1台ずつ狙うよりも、DNSを攻撃するほうが「効率よく組織全体のシステムを麻痺させられる」「大量のユーザーを一括して偽サイトへ誘導できる」という大きなメリットがあるため、頻繁に標的とされます。
2. 代表的なDNS攻撃の5つの手法
DNS攻撃には、目的に応じていくつかの異なるタイプ（手法）が存在します。
大きく分けると「DNSの情報を偽装・悪用する攻撃」と「DNS（または標的）を停止させる攻撃」の2つのカテゴリーに整理できます。
- 【DNS情報を偽装・悪用する攻撃】
- ① DNSキャッシュポイズニング（情報改ざん）：DNSサーバーの一時記憶（キャッシュ）に偽のIPアドレス情報を割り込ませて記憶させ、ユーザーを偽サイトへ自動転送する攻撃です。
- ② DNSスプーフィング（なりすまし・偽装）：DNSの応答データや通信を偽装し、ユーザーを不正なサーバーへ誘導する攻撃の総称です。
- ③ DNSトンネリング（情報の持ち出し）：DNS通信のデータ領域に不正な命令や盗み出したデータを隠し入れ、セキュリティ機器をすり抜けて外部と不正通信を行う手口です。
- 【DNS（または標的）を停止させる攻撃】
- ④ DNSアンプ攻撃（DNS反射攻撃 / DDoS）：無防備なDNSサーバーを「踏み台」として悪用し、標的企業のサーバーや回線へ何倍にも膨らませた大量の応答データを送りつけてパンクさせる攻撃です。
- ⑤ DNS水浸し攻撃（DNS Water Torture Attack）：存在しない大量のサブドメインへの問い合わせをランダムかつ大量に送りつけ、DNSサーバーに過重な処理負荷をかけて応答不能に追い込む攻撃です。
① DNSキャッシュポイズニング（情報改ざん）
DNSサーバーの一時記憶（キャッシュ）領域に、本物より早く「偽のIPアドレス情報」を割り込ませて記憶させる（毒入れする）攻撃です。
そのDNSサーバーを利用するユーザー全員が、正しくWebサイトを開こうとしても自動的に偽サイトへ転送されてしまいます。
② DNSスプーフィング（なりすまし・偽装）
DNS応答データを偽装・改ざんし、アクセスしてきたユーザーを偽のサーバーへ誘導する攻撃の総称です。
前述のDNSキャッシュポイズニングや、通信経路への中間者攻撃などを通じて実行されます。
③ DNSアンプ攻撃（DNS反射攻撃 / DDoS）
DNSサーバーを「攻撃の踏み台（増幅器＝アンプ）」として悪用するDDoS攻撃の一種です。
攻撃者は送信元IPアドレスを「標的企業のIP」に偽装し、オープンリゾルバ（無防備なDNS）へ大量の問い合わせを送信します。
DNSサーバーから標的企業へ何倍にも膨らんだ応答データが一斉に押し寄せ、社内回線やサーバーがパンクします。
④ DNS水浸し攻撃（DNS Water Torture Attack）
特定のドメイン（例: example.com）に対して、random123.example.com のように「存在しないサブドメイン」への問い合わせをランダムかつ大量に送りつける攻撃です。
DNSサーバーは毎回上位サーバーへ問い合わせ処理を行わされるため、CPUやメモリを使い果たして応答不能に陥ります。
⑤ DNSトンネリング（情報の持ち出し）
DNSプロトコル（通信手順）がセキュリティ機器でブロックされにくい性質を悪用する手口です。
DNS問い合わせのデータ領域にマルウェアの制御命令や盗み出した社内データを隠し入れ、ファイアウォールをすり抜けて外部と不正通信を行います。
3. DNS攻撃によって発生する重大な企業被害
もし自社のDNS環境が攻撃を受けると、以下のような深刻な被害が生じる恐れがあります。
- Webサイトやクラウドサービスの全面停止：DNSサーバーが過負荷でダウンすると、自社のWebサイト、ECサイト、メール、クラウドシステムへのアクセスが完全に遮断され、業務停止や売上機会の損失が発生します。
- 大規模なフィッシング被害と認証情報の漏洩：DNS情報を偽装された場合、自社サービスの顧客や社員が精巧な偽ログイン画面へ誘導され、ID・パスワードやクレジットカード情報が盗み取られます。
- 自社サーバーが他社攻撃の「踏み台」にされる：自社で管理するDNSサーバーの設定が甘い場合、他社へのDDoS攻撃の踏み台（加害者）として悪用され、企業としての社会的信用を失うリスクがあります。
4. 企業が取るべき5つのDNS安全対策
DNS攻撃を防ぐためには、自社DNSサーバーのセキュリティ強化と外部脅威を検知する多層防御を組み合わせることが不可欠です。
1.1. DNSSEC（DNS Security Extensions）の導入:通信の改ざん防止。
DNS応答に電子署名を付与する「DNSSEC」を有効化します。受信した応答データが「本物のサーバーから届いた正しいデータか」を自動検証できるため、DNSキャッシュポイズニングやスプーフィングによる改ざんを根本から防ぎます。
2.2. オープンリゾルバの解消とDNSサーバーの役割分離:踏み台防止。
外部からの無制限な問い合わせを受け付ける「オープンリゾルバ」状態を解消し、DDoS攻撃の踏み台化を防ぎます。また、自社ドメイン情報を管理する「権威DNS」と、社内からの名前解決を行う「キャッシュDNS」を物理的・論理的に分離して運用しましょう。
3.3. クラウド型DNS（マネージドDNS）やAnycastの活用:負荷耐性の強化。
自社オンプレミスでDNSを運用するリスクを避け、大手クラウドベンダー（AWS Route 53、Cloudflare等）が提供する高耐久なマネージドDNSサービスを活用します。大規模なDDoS攻撃にも耐えうる帯域と冗長性を確保できます。
4.4. DNSソフトウェアの定期アップデートとソースポートランダム化:ソフトウェア保全。
BINDなどのDNSソフトウェアを常に最新バージョンへ更新し、脆弱性を放置しないようにします。また、問い合わせ時の送信元ポートやトランザクションIDをランダム化し、偽応答の割り込みを困難にさせます。
5.5. Webサイトの常時HTTPS化（TLS 1.2/1.3）:通信保護。
Webサービス全体を常時HTTPS化しておけば、万が一DNSが汚染されて偽サーバーへ誘導された場合でも、ブラウザが「証明書不一致（セキュリティ警告）」を発出してアクセスを遮断し、被害を未然に防いでくれます。
5. よくある質問（FAQ）
Q1. 大手通信事業者やクラウドのDNSを使っていればDNS攻撃の心配はありませんか？
A1. 自社運用のサーバーより遥かに安全ですが、対策ゼロとは言えません。
クラウドDNSプロバイダーは堅牢なDDoS対策やDNSSEC対応を備えているため、自社運用よりも安全性が劇的に向上します。
ただし、ドメイン管理アカウントの認証情報（ID/パスワード）が漏洩してレジストリ側の設定を書き換えられる「ドメインジャック」などのリスクには別途注意が必要です。
Q2. 小規模な自社サイトでもDNS攻撃の標的になりますか？
A2. はい、十分に標的となります。
特に「DNSアンプ攻撃の踏み台」として悪用されるケースや、無差別に全自動ボットで脆弱性を探す攻撃では、企業の規模に関係なく狙われます。
「小さな会社だから大丈夫」という油断は禁物です。
まとめ：DNSセキュリティを見直し、インフラの安全を確保しよう
DNS攻撃は、企業のITインフラの「根本」を揺るがし、サービス停止や大規模な情報漏洩を引き起こす非常に危険なサイバー攻撃です。
- DNS（インターネットの住所録）を狙い、サービス停止（DDoS）や偽サイトへの誘導（スプーフィング等）を行う攻撃の総称。
- DNSアンプ攻撃、水浸し攻撃、キャッシュポイズニング、DNSトンネリングなど多彩な手口が存在する。
- 「DNSSECの導入」「オープンリゾルバの停止」「クラウド型マネージドDNSの活用」「常時HTTPS化」による多層防御が不可欠。
自社のDNS運用環境やドメインの設定状況を今一度点検し、トラブルが発生する前に堅牢なセキュリティ体制を構築していきましょう。
情報セキュリティ研修をご検討中の方へ
当サイトでは、企業・自治体向けに以下のサービスをご提供しています。
- 研修動画パッケージ（買い切り型）
- 講師派遣による対面・オンライン研修
- 社内啓発に活用できる無料「情報セキュリティ10箇条」ポスター
動画研修には、スライド一式・理解度確認テスト・研修実施報告書テンプレート・社内掲示用ポスターも付属しており、研修担当者の負担軽減にも役立ちます。
料金やカリキュラムの詳細は、[情報セキュリティ研修サービス一覧] をご覧ください。
