短.beリンクプレビューは、SNS やメッセージングアプリがリンクの内容を事前に表示する機能であり、ユーザーがリンクをクリックする前に遷移先の概要を把握できる利便性を提供します。 Facebook、X (旧 Twitter)、LINE、Slack、iMessage などにはリンクプレビューの機能があり、OGP (Open Graph Protocol) メタタグから取得したタイトル、説明文、サムネイル画像を表示します。しかし、この機能は短縮 URL と組み合わさることで、安全上の危険を生むことがあります。 セキュリティ研究者の Talal Haj Bakry と Tommy Mysk が 2020 年に発表した調査では、複数の主要メッセージングアプリがリンクプレビュー生成時にユーザーの IP アドレスをリンク先サーバーに送信することが示され、プライバシー上の懸念が指摘されています。短縮 URL はリダイレクトを介して最終的な遷移先を隠せるため、プレビューに表示される情報と実際の遷移先が異なる「プレビュー偽装」に使われる恐れがあります。本記事では、リンクプレビューの技術的仕組みを解説し、短縮 URL に関連するセキュリティリスクとその対策を体系的に整理します。
リンクプレビューの生成プロセスは、プラットフォームによって大きく 3 つのアーキテクチャに分類されます。第一は「送信者側生成」方式で、メッセージの送信者のデバイスがリンク先にアクセスして OGP 情報を取得し、プレビューデータをメッセージに添付して送信します。 iMessage や Signal がこの方式を採用しています。第二は「サーバー側生成」方式で、プラットフォームのサーバーがリンク先にアクセスして OGP 情報を取得します。 Facebook、X、LinkedIn がこの方式です。第三は「受信者側生成」方式で、メッセージの受信者のデバイスがリンク先にアクセスします。この方式では受信者の IP アドレスがリンク先に伝わり、プライバシーの面で危険があります。短縮 URL が介在する場合、プレビュー生成のリクエストはまず短縮 URL サービスのサーバーに到達し、リダイレクトを経て最終的なリンク先に転送されます。この過程で、短縮 URL サービスはプレビュー生成リクエストのユーザーエージェントを記録でき、どのプラットフォームからプレビューが生成されたかを把握できます。
プレビュー偽装攻撃は、短縮 URL のリダイレクト先を動的に切り替えることで成立します。攻撃者はまず、正規のウェブサイト (たとえば大手ニュースサイトの記事) を短縮 URL のリダイレクト先として設定します。 SNS やチャットアプリがリンクプレビューを生成する際、正規サイトの OGP 情報 (タイトル、説明文、サムネイル) が取得され、正規のサイトに見えるプレビューが表示されます。プレビューが生成 / キャッシュされた後、攻撃者はリダイレクト先をフィッシングサイトやマルウェア配布サイトに変更します。ユーザーはプレビューに表示された正規サイトの情報を信頼してリンクをクリックしますが、実際には悪意のあるサイトに誘導されます。 フィッシングでは、リンク先を隠せる短縮 URL が悪用されることもあります。この攻撃では、「プレビューを見たから安全」という思い込みが突かれます。
サービス側の対策は、いくつかの層に分けられます。第一に、リダイレクト先の変更履歴を記録し、短期間に何度もリダイレクト先が変わる短縮 URL に自動でフラグを付ける仕組みがあります。短い時間に何度もリダイレクト先が変わる場合は、不正を疑う手がかりになります。第二に、リダイレクト先の URL を Google Safe Browsing API や PhishTank のデータベースと照合し、既知のフィッシングサイトやマルウェア配布サイトへのリダイレクトを止める機能です。第三に、リダイレクト前にインタースティシャルページ (中間ページ) を表示し、最終的な遷移先の URL を確かめられる設計です。この中間ページでは、遷移先のドメイン名、SSL 証明書の有無、Google Safe Browsing の判定結果を表示し、ユーザーが情報に基づいた判断を下せるようにします。第四に、短縮 URL の作成時に CAPTCHA やメール認証を求めると、ボットによる悪意ある短縮 URL の大量の生成を抑える助けになります。これらの対策を組み合わせると、プレビュー偽装のリスクを抑えやすくなります。
利用者の側にも、身を守る方法があります。まず、リンクプレビューの情報だけに頼らず、短縮 URL の展開サービス (unshorten.me、CheckShortURL など) で最終的なリダイレクト先を先に確かめられます。特に、金融機関やログインページへの誘導を含むメッセージでは、短縮 URL を直接クリックせず、ブラウザーのアドレスバーに公式サイトの URL を手で入力すると、偽のサイトへの誘導を避けやすくなります。企業のセキュリティ担当者が、社内のセキュリティ研修にリンクプレビュー偽装の事例を組み込む方法もあります。 メールのリンクを開く前に確かめる考え方は、チャットアプリのリンクにも通じます。短縮 URL の便利さと安全性はトレードオフの関係にあり、技術の対策と利用者の教育を組み合わせて、リスクを抑える方法があります。