シャドードメインとゴーストドメインの違い｜SEOとDNSで意味が変わる2語を整理

「シャドードメイン」と「ゴーストドメイン」は、SEOの文脈とDNSセキュリティの文脈で指すものが変わる言葉です。SEOの用語集では2語は同じもの（本命サイトへ誘導するためのダミードメイン）の別名として載っています。一方、セキュリティの文脈では、シャドードメインはドメインシャドーイングで作られる悪性サブドメインを、ゴーストドメインは削除されたのに名前解決され続ける「幽霊ドメイン名」を指し、仕組みも守る側も別物です。本記事ではSEO用語集での用例と、研究論文・事業者の公式資料によるセキュリティ上の定義を区別し、自社ドメインでの確認事項をまとめます。

まとめ：シャドードメインとゴーストドメインの違い

• SEO用語としては同義：どちらも検索流入を本命サイトへ流すためのダミードメインを指します。現在のGoogleのスパムに関するポリシーでは「誘導ページの不正使用」「不正なリダイレクト」に当たる手法です。
• セキュリティ用語のシャドードメイン：攻撃者がレジストラやDNS事業者のアカウントを乗っ取り、正規ドメインの下にこっそり作る悪性サブドメインです。Unit 42は2022年の2か月間で1万2,197個を検出しています。
• セキュリティ用語のゴーストドメイン：親ゾーンから委任を削除されたドメイン名が、キャッシュDNSサーバーの実装の隙を突かれて名前解決され続ける問題です。2012年のNDSSで発表され、JPRSは「幽霊ドメイン名」と訳しています。
• 「放置ドメインの悪用」は別の概念：放置されたDNSレコードの悪用はサブドメイン乗っ取り、失効したドメインの再取得は期限切れドメインの問題で、どちらもゴーストドメインの原典の定義には含まれません。
• 自社で効く対策は文脈ごとに違う：シャドーイングにはDNS管理アカウントの多要素認証と変更監視、幽霊ドメイン名にはキャッシュDNSサーバーのソフトウェア更新が効きます。

以下、SEOでの意味、ドメインシャドーイング、幽霊ドメイン名、混同されやすい用語との比較、自社での確認手順の順に説明します。

SEO用語のシャドードメインとゴーストドメイン：同じダミードメインの別名

SEO業界の用語集では、2語を区別していません。SEOホッパーの用語集は「シャドードメインとは、本命のドメインに訪問客を誘うためのダミーのドメイン（ゴーストドメイン）のことです」と定義し、同じページで「両者はまったく同じ意味で使われています」と明記しています。クロスウォークのSEO用語集も「ゴーストドメイン」の項に【同】シャドードメインと書き、「ある目的のために使い捨てを前提に取得されたドメイン」「SEOではドアウェイページなどに用いられる」と説明しています。

つまりSEOの文脈で「違い」を問われたら、答えは「違いはない」です。キーワードを詰め込んだ中身の薄いドメインを複数立て、検索から来た利用者を本命サイトへ転送する手法を、影（shadow）とも幽霊（ghost）とも呼んだ、というだけの話です。

Googleのスパムに関するポリシーで該当する項目

現在のGoogleのスパムに関するポリシー（日本語版・最終更新2026年9月2日 UTC）に「シャドードメイン」という項目はありません。手法の中身で見ると、次の項目に当たります。

ポリシーは誘導ページの不正使用を「特定の類似した検索語句で検索結果の上位に表示されることを目的にサイトまたはページを作成すること」と定義し、例として「特定の地域や都市を対象としたドメイン名やページを複数持ち、それらのドメインから 1 つのページにユーザーを誘導する」を挙げています。かつてのシャドードメインはほぼこの例そのものです。「期限切れのドメインの不正使用」は、失効ドメインを取得し、主に順位操作を目的として利用者への価値がほとんどないコンテンツに転用する行為です。誘導ページとは別の違反類型として区別します。

正当な複数ドメイン運用との境界

複数ドメインを持つこと自体は違反ではありません。同じポリシーは正当なリダイレクトの例として「サイトを新しいアドレスに移転する」「複数のページを 1 つに統合する」を挙げ、判断の基準を「リダイレクトがユーザーまたは検索エンジンを欺くことを意図したものかどうか」としています。旧社名ドメインや指名検索のある防衛ドメインを301で本体へ寄せるのは正当な運用です。境界は、転送元に検索向けの薄いページを置いて順位を取りにいくかどうかにあります。使わないドメインの安全な持ち方はパークドメインの意味と、なりすまし対策のDNS設定で整理しています。

セキュリティ用語のシャドードメイン：ドメインシャドーイングで作られる悪性サブドメイン

セキュリティの文脈でのシャドードメインは、ドメインシャドーイング（domain shadowing）という攻撃で作られるサブドメインを指します。Palo Alto NetworksのUnit 42は2022年9月21日の日本語版記事で「侵害されたドメインの下に攻撃者が悪意のあるサブドメインである『シャドウドメイン(shadowed domain)』をひそかに作成します」と説明しています。英語の原語は shadowed domain で、影に隠された側のドメインという意味合いです。

成立の仕組み：レジストラとDNS事業者のアカウント侵害

攻撃者は、ドメイン所有者からレジストラやDNSサービスのログイン情報を盗み、ゾーンに悪性サブドメインのレコードを追加します。Unit 42はドメインシャドーイングを「DNSハイジャック」のサブカテゴリと位置付け、要点を「侵害したドメインを使っているWebサイトやメールサーバーなどのサービスが正常に動くよう、既存レコードをそのままにしておきます」と書いています。本体のサイトもメールも普段どおり動くため、通常のサービス監視だけでは気付きにくく、DNSレコードの変更監視などが必要です。

この手口に名前を付けたのはCisco Talosです。2015年3月3日のブログ記事でAngler Exploit Kitの攻撃キャンペーンを分析し、ドメインシャドーイングを「ドメインアカウントの認証情報を集め、実際の所有者に気付かれないまま、悪性サーバーを指すサブドメインを作る手口」と説明しました。Talosは侵害されたアカウントを数百件特定し、使われたサブドメインは1万個近くに上ったと報告しています。所有者が複数のドメインを持っていれば、1つのアカウントから事実上いくらでもサブドメインを作れるため、サイトやIPアドレス単位のブロックリストでは追い付けません。

作られたサブドメインは、フィッシングメールの差出人ドメイン、悪性のリダイレクトの中継点、偽ログインページの設置先、ボットネットのC2通信の中継などに使われます。攻撃者から見た利点は、正規ドメインが積み上げてきた評判をそのまま借りられることです。フィッシングの全体像はフィッシングの手口の種類と企業が取るべき組織的対策を参照してください。

規模と検知の難しさ：Unit 42の2022年の観測

Unit 42はパッシブDNSのログを機械学習で分類する検出パイプラインを作り、2022年4月25日から6月27日までの約2か月で1万2,197個のシャドウドメインを検出しました。このうちVirusTotalで少なくとも1つのベンダーに悪性と判定されていたのは200個だけです。事例として取り上げた、16個の侵害ドメインの下に作られた649個のサブドメインによるフィッシングキャンペーンでも、悪性と判定されたのは151個で、4分の1に届いていません。

この数字が示すのは、ブロックリストの判定を待っていては遅いということです。自社ドメインが踏み台にされたかどうかは、外部の評判サービスの判定だけに頼らず、自社のDNSゾーンの変更履歴と証明書の発行履歴も確認します。具体的な確認方法は後の章で扱います。

セキュリティ用語のゴーストドメイン：削除後も名前解決される「幽霊ドメイン名」

ゴーストドメインの原典は、清華大学のHaixin Duan氏らが2012年2月8日（米国時間）にNDSS Symposium 2012で発表した論文「Ghost Domain Names: Revoked Yet Still Resolvable」です。JPRSは同年2月17日の注意喚起で、この脆弱性によりキャッシュDNSサーバーで名前解決可能な状態にさせられ続けるドメイン名を「幽霊ドメイン名」と訳しています。

背景にあるのは、DNSには権威DNSサーバーで公開したデータを取り消す（revoke）仕組みも、キャッシュDNSサーバーへ能動的に知らせる仕組みもないという事情です。親ゾーンが委任を削除しても、キャッシュDNSサーバーがそれに気付くかどうかは実装任せでした。悪性ドメインとしてレジストリが委任を削除しても、攻撃者はキャッシュの中でそのドメインを生かし続けられます。

幽霊ドメイン名の攻撃手順：NSレコードの更新によるキャッシュ延命

JPRSの解説にある攻撃シナリオを要約すると、次の手順になります。

1. 委任が削除される前に、攻撃対象のキャッシュDNSサーバーに自分の管理するドメイン（例：example.jp）の名前を問い合わせさせ、NSレコードをキャッシュさせる
2. 親ゾーン（jp）で委任が削除される
3. 攻撃者は自分の権威DNSサーバーの設定を、別名のネームサーバー（ns2.example.jp）を指すNSに書き換える
4. キャッシュのTTLが切れる前に、ns2.example.jp を問い合わせさせる。応答に含まれる新しいNSレコードが既存のキャッシュを上書きし、TTLが元の長さに戻る
5. 3と4を繰り返すと、事実上無期限にキャッシュの期限を延ばせる

成立の鍵は、同じ信頼度のNSレコードを受け取ったときに上書きするかどうかが、当時のDNSプロトコルで規定されておらず実装依存だった点です。RFC 2181は子ゾーン側のNSレコードを親ゾーン側より高い信頼度で扱うよう定めており、攻撃者はそれを延命に使いました。

影響を受けた実装と対策

JPRSによると、2012年の発表時点で影響を受けたのはBIND 9の全バージョン、djbdns 1.05付属のdnscache、Unbound 1.4.7以前、PowerDNS Recursor 3.3、Windows Server 2008付属のMicrosoft DNSなどです。Google Public DNSとWindows Server 2008 R2付属のMicrosoft DNSは影響を受けないとされました。対策として、BIND 9.9.0／9.8.2／9.7.5／9.6-ESV-R6以降とUnbound 1.4.8以降には回避コードが入っています。

守る側は、キャッシュDNSサーバーの運用者です。影響を受けるのはキャッシュDNSサーバーだけで、再帰問い合わせを受け付けない権威DNSサーバーは対象外です。JPRSは「この脆弱性により、現在使用中のドメイン名の権限が奪われることはありません」とも明記しています。自社ドメインが乗っ取られる話ではない点が、シャドーイングとの決定的な違いです。

ただし、2012年の修正で終わった話ではありません。清華大学のXiang Li氏らはNDSS 2023で論文「Ghost Domain Reloaded」を発表し、委任の処理に残る別の隙を使って削除済みドメインを名前解決させ続ける手口「Phoenix Domain」を示しました。調査した41の公開DNSリゾルバはGoogle Public DNSとCloudflare DNSを含めてすべて影響を受け、約21万台の再帰リゾルバを測った結果では、委任の削除とキャッシュの期限切れから1か月たっても25%超が名前を解決できました。BIND、Unbound、Google、Cloudflareを含む7つのDNSソフトウェア提供元と15のリゾルバ事業者が脆弱性を認め、9件のCVEが割り当てられています。UnboundではCVE-2022-30698とCVE-2022-30699として、1.16.2で修正されました。

攻撃者の狙いは、レジストリや当局による悪性ドメインのテイクダウンをすり抜けることです。フィッシングやマルウェア配布のドメインを止めても、利用者のキャッシュDNSサーバーの中では生き残ります。

4つの用語の比較：シャドーイング・幽霊ドメイン名・サブドメイン乗っ取り・期限切れドメイン

「放置されたドメインが悪用される」という説明でゴーストドメインが語られることがありますが、原典の定義とは一致しません。放置されたものの悪用には別の名前が付いています。攻撃者が何を握り、誰が守る立場にあるかで並べると、違いがはっきりします。

サブドメイン乗っ取りについて、Microsoft Learnは「プロビジョニング解除された Azure リソースを指す DNS レコード がある場合に発生する可能性があります」と説明し、こうしたレコードを未解決のDNS（dangling DNS）エントリと呼んでいます。特にCNAMEレコードが狙われやすいとしています。放置されたレコードの問題はこちらに当たり、攻撃者がDNS管理アカウントを握る必要がない点でシャドーイングと異なります。

対策の優先度は、どの立場にいるかで決まります。一般企業がまず手を付けるべきは、所有者として守る2つ（シャドーイングとサブドメイン乗っ取り）です。幽霊ドメイン名は社内でキャッシュDNSサーバーを運用している場合に関係し、2012年の手口とNDSS 2023で発表されたPhoenix Domainの両方の修正が入った版かを確認します。

自社ドメインで確認すること：アカウント・ゾーン・証明書

DNS管理アカウントの多要素認証と変更履歴

シャドーイングの入口はレジストラとDNS事業者のアカウントです。多要素認証を必須にし、退職者や委託先の終了した担当者のアカウントとAPIトークンを棚卸しします。ゾーンの変更履歴や監査ログを出せる事業者なら、その通知先をセキュリティ担当にも向けておくと、見覚えのないレコード追加に気付けます。レジストラがレジストリロック（登録情報の変更に人手の確認を挟むサービス）を提供していれば、ネームサーバーの書き換えまで含む全面的な乗っ取りへの備えになります。

もう1つの定期点検は、ゾーンファイルを書き出して前回との差分を見ることです。Unit 42が指摘するとおり、シャドーイングは既存レコードを残したまま行われるので、見るべきは「増えたレコード」です。

証明書透明性ログによる未知のサブドメインの確認

攻撃者がシャドウドメインでHTTPSのフィッシングページを出すと、証明書が発行され、その記録が証明書透明性（CT）ログに残ります。curlとjqを使えるシェル環境では、crt.shのJSON検索結果から証明書に載った名前を抽出できます。次のexample.co.jpは自社ドメインに、2026-06-01は確認したい有効期間開始日の下限に置き換えてください。

curl -s 'https://crt.sh/?q=%25.example.co.jp&output=json' \
  | jq -r --arg since "2026-06-01" '.[] | select(.not_before >= $since) | .name_value' \
  | tr 'A-Z' 'a-z' | sort -u

not_before は証明書の有効期間の開始日時です。一覧に社内の誰も知らない名前があれば、DNSゾーンに該当レコードがあるかを確かめます。ただしワイルドカード証明書（*.example.co.jp）で発行された場合や、HTTPのままのページでは個別のサブドメイン名がログに出ません。CTログは補助で、主役はゾーンの差分だと考えてください。

キャッシュDNSサーバーの版とSearch Consoleの警告

社内でBINDやUnboundのキャッシュDNSサーバーを動かしている場合は、named -v や unbound -V で版を確認します。UnboundならPhoenix Domainの修正が入った1.16.2以降かどうかが目安です。BINDは提供元ISCのセキュリティアドバイザリで、使っている版が修正済みかを確かめてください。名前解決の流れそのものは名前解決の仕組みとdig・nslookupでの確認方法で解説しています。

SEO面では、シャドウドメインにフィッシングページを置かれると、Search Consoleの「セキュリティの問題」レポートの対象になります。レポートの分類では、無断で置かれたページは「ハッキングされたコンテンツ」、偽ログインページは「ソーシャル エンジニアリング」に当たり、該当ページには検索結果の警告ラベルやブラウザの警告ページが出るとヘルプに書かれています。サブドメインをまとめて確認するには、Search Consoleのドメインプロパティが適しています。個々のサブドメインをURLプレフィックスプロパティとして登録する方法もあります。ただし警告が出てから気付くのでは遅いため、前の2つの点検を定例にしておくのが確実です。

よくある質問

シャドードメインとゴーストドメインは同じ意味ですか？

SEOの用語としては同じ意味です。用語集では、本命サイトへ誘導するためのダミードメインを指す別名として扱われています。セキュリティの用語としては別物で、シャドードメインはドメインシャドーイングで作られる悪性サブドメイン、ゴーストドメインは委任を削除された後も名前解決され続ける幽霊ドメイン名を指します。

シャドードメインを使うとGoogleのペナルティを受けますか？

検索順位の操作を目的に中身の薄いドメインを立てて本命サイトへ誘導する使い方は、Googleのスパムに関するポリシーの「誘導ページの不正使用」や「不正なリダイレクト」に当たり、順位の低下や検索結果からの削除の対象になりえます。サイト移転や統合のための301リダイレクトは正当な例としてポリシーに明記されています。

ドメインシャドーイングとサブドメイン乗っ取りの違いは何ですか？

ドメインシャドーイングは、DNS管理アカウントを乗っ取って新しいサブドメインを追加する攻撃です。サブドメイン乗っ取りは、削除した外部サービスを指すCNAMEが残っている既存サブドメインを、攻撃者がそのサービス側で同じ名前を取得して乗っ取る攻撃です。前者はアカウント保護、後者はDNSレコードの棚卸しで防ぎます。

ゴーストドメイン（幽霊ドメイン名）の脆弱性は今も影響がありますか？

2012年の手口はBIND 9.9.0／9.8.2／9.7.5／9.6-ESV-R6以降とUnbound 1.4.8以降で回避されましたが、2023年に発表された新手口Phoenix Domainは当時の調査対象だったGoogle Public DNSやCloudflare DNSを含む41の公開リゾルバすべてに影響し、Unboundは1.16.2で修正されました。影響を受けるのはキャッシュDNSサーバーで、自社ドメインの権限が奪われる脆弱性ではありません。社内でキャッシュDNSサーバーを運用している場合は、修正済みの版かを確認してください。

DNSSECを導入すればドメインシャドーイングを防げますか？

防げません。DNSSECは応答が権威DNSサーバーのゾーンデータから改ざんされていないことを検証する仕組みで、正規の管理画面から追加されたレコードは正しく署名されます。シャドーイングはアカウントを乗っ取って正規の手順でレコードを足す攻撃なので、アカウント保護と変更監視で防ぐ必要があります。DNSSECが守る範囲はDNSSECの仕組みと役割・導入手順を参照してください。

関連記事

• パークドメインとは？意味・仕組みと危険性、なりすまし対策のDNS設定を解説
• DNSSECとは？DNSの安全性を守る仕組みと役割・導入手順をわかりやすく解説
• 名前解決とは？DNSの仕組み・正引き/逆引き・dig/nslookupでの確認方法を実装者向けに解説
• フィッシングとは？手口の種類・見分け方と企業が取るべき組織的対策を解説
• DMARCとは？仕組み・SPFやDKIMとの違い・レコードの書き方を解説【2026年版】