自社ブランドの証明書透明性はどう監視しますか?

証明書透明性とは何で、なぜ暗号資産プロジェクトの役に立つのですか?

証明書透明性は、認証局が発行した証明書を記録する公開ログの仕組みです。 ログは公開されているため、誰でも名前を検索でき、あなたを模倣した名前も検索できます。類似ドメインで HTTPS を使いたいフィッシング犯は通常、証明書を要求し、その要求は見える形のエントリになります。

これは2つの状況で重要です。1つは類似ドメインです。攻撃者があなたに似た名前を登録し、証明書を取得してキャンペーンを始めます。もう1つはハイジャックです。Blockaid は、2026年2月のフロントエンド侵害で、攻撃者の SSL 証明書が DNS 変更と同じ日に発行され、Nerochain のドメインにワイルドカード証明書が発行されたと報告しました。要求していない自社ドメインのログエントリは、早期の警告です。

引用しやすい定義:証明書透明性の監視とは、ブランドを含む名前を公開証明書ログで検索する取り組みで、類似証明書やハイジャックの証明書を、ユーザーが被害を受けるときではなく、発行されたときに発見できるようにするものです。

crt.sh でブランドをどう検索しますか?

ドメイン名とブランド文字列を使って、crt.sh をアイデンティティで検索し、リストを毎週見直してください。 crt.sh は Sectigo が運営する証明書検索サービスです。ドメイン名または組織名をアイデンティティとして、証明書のフィンガープリント、または crt.sh ID を受け付けます。

Advanced ページには、一致演算子として Autoselect、equals、ILIKE、LIKE、範囲の選択、失効した証明書を除外するチェックボックス、証明書とプレ証明書のペアを重複排除するチェックボックスが並んでいます。LIKE 演算子は SQL の演算子で、パーセント記号は任意のテキストに一致するため、ブランドの両側にパーセント記号を付けたパターンで、それを含む名前を一覧にできます。crt.sh のページにはパターン文字が記載されていないため、ご自身が所有する名前でテスト検索して動作を確認してください。

見つけたものを記録してください。自社の正当な名前と発行者の短いリストを持ち、それ以外のすべてのエントリを確認します。類似する名前ごとに、自社ブランドの類似ドメインを見つける方法の次のステップに進んでください。

CertStream で新しい証明書をストリーミングするには?

CertStream は新しい証明書透明性エントリをリアルタイムで配信し、短いスクリプトでブランドに一致するものにフラグを立てられます。 高速ですが雑音も多く、ほとんどの証明書は無関係なので、照合ルールの質が有用性を左右します。

Python ライブラリは pip でインストールできます。README では、メッセージとコンテキストを受け取るコールバックを登録し、メッセージタイプが certificate_update であることを確認して、リーフ証明書からドメインのリストを読み取ります。以下のサンプルはその構造に従い、ブランドの照合を加えたものです。

# pip install certstream
import certstream

BRAND = 'examplecoin'

def on_cert(message, context):
    if message['message_type'] == 'certificate_update':
        for name in message['data']['leaf_cert']['all_domains']:
            if BRAND in name.lower():
                print(name)

certstream.listen_for_events(on_cert, url='wss://certstream.calidog.io/')

どの文字列と拡張子を見張るべきですか?

正確なブランド名、よくあるスペルミス、そして login、claim、airdrop、wallet などの単語と組み合わせたブランドを見張ってください。 オープンソースの順列エンジン dnstwist で、自社名のタイプミス、ホモグリフ、ハイフン、拡張子入れ替えのバリエーションを生成し、それらの文字列を照合に使います。

拡張子には不正利用のデータで重みを付けてください。2026年11月12日 の Wardmint の調査によると、Interisle の2025年5月1日から2026年4月30日のデータでフィッシングドメインが最も多い10の拡張子のうち6つは Wardmint が販売しています。.com(869,180ドメイン)、.pro(130,945)、.info(99,602)、.xyz(93,987)、.shop(79,625)、.icu(74,786)です。残りの4つは .top、.cn、.vip、.cc です。Wardmint は .top を販売していません。販売している拡張子を事前に所有しておくと、攻撃者が取得できたはずの一致を減らせます。

件数はリスクではありません。Interisle の委任ドメイン1万件あたりのフィッシングスコアでは、.com の 53.7 に対して .icu が 1,607、.pro が 1,200.1 であり、小規模で悪用されている拡張子でのヒットは、.com よりも早く確認する価値があります。一覧とスコアはフィッシングに最もよく使われるドメイン拡張子にあります。

疑わしい証明書が現れたらどうしますか?

名前を確認し、証拠を記録し、状況に合った順序で対応してください。 類似名の場合は、安全に読み込み、スクリーンショットを撮り、証明書エントリとページを保存して、報告の手順を実行します。自社ドメインに想定外の証明書が出た場合は、誰かがドメインの指す先を変更した可能性があるため、まず DNS レコードとレジストラアカウントを確認してください。

対応計画はフィッシングサイトがプロジェクトを装ったときの対処にあります。CAA レコードは、CAA レコードの設定方法で説明しているとおり、自社の名前に対して発行できる認証局を制限します。Wardmint はドメインと DNS レコードを登録するサービスであり、監視やテイクダウンは行わないため、このガイドでは無料のツールを使っています。