短.beタイポスクワッティングは、有名ドメインのスペルミスを狙って類似ドメインを取得し、誤って訪れたユーザーをフィッシングサイトや広告ページに誘導する手口です。有名ブランドを狙った類似ドメインは数多く登録されており、その一部はフィッシングやマルウェア配布などの悪性用途に使われています。短縮 URL の運営者と利用者の両方にとって、この手口を知っておくと、対策を選びやすくなります。
典型的な手口は 4 種類に分けられます。第一が文字置換 ( 「twitter.com」 → 「twltter.com」 )、第二が文字位置入れ替え ( 「amazon.co.jp」 → 「amzaon.co.jp」 )、第三が文字省略 ( 「microsoft.com」 → 「microsft.com」 )、第四がホモグラフ攻撃 ( ASCII の 「a」 をキリル文字の 「а」 に置換) です。第四のホモグラフ攻撃はブラウザーの URL バー上で見分けがつかないことがあり、2026 年 10 月時点で、各ブラウザーが独自の方針で一部の IDN を Punycode で表示しています。
短縮 URL を運営する側の防御は、登録時の URL 検査が中心です。短縮 URL に登録される URL を Google Safe Browsing や PhishTank のデータベースと照合し、フィッシング判定が出たものは登録自体を拒否する仕組みがあります。さらに、自社ブランド名や有名ブランド名に似たドメインを許可リストではなく拒否リストで管理し、検出したら確認の流れに送る運用にします。
短縮 URL を業務で利用する側の防御は、リンク先プレビューと社員教育の二段構えです。プレビュー機能のある短縮 URL サービスを選ぶことに加え、メールや Slack で受け取ったリンクを開く前に遷移先のドメインを確かめる習慣も、防御になります。 2026 年 10 月時点の Microsoft Defender for Office 365 の Safe Links のような、メールのリンクを確かめる機能と組み合わせる方法もあります。
ブランド側の防御では、自社の主要ドメインに対する類似ドメインを継続的にモニタリングし、悪用が確認されたドメインは UDRP (統一ドメイン名紛争処理方針) に基づいて移管請求を行います。 WIPO 仲裁・調停センターの統計では、UDRP 提訴の多くが請求側の勝訴となっており、攻撃ドメインへの法的対応は実用的な選択肢です。並行して、自社の正規短縮 URL ドメインを社員と顧客に周知し、「公式サイト以外の短縮 URL ドメインからの案内は信用しない」という運用ルールを共有する方法があります。
個人ユーザーの防御は、リンクをすぐにクリックせず、まず URL のドメイン部分を確認する習慣に集約されます。スマートフォンではリンクを長押しすると遷移先 URL がポップアップ表示されるため、長押しで遷移先のドメインを確かめられます。 PC では、URL バーの鍵のアイコン (ブラウザーによって別のアイコン) から証明書の情報が表示されます。
タイポスクワッティングは古典的な手口ですが、生成 AI の登場で、本物に似せた偽のページも作りやすくなっています。対策の要点は、短縮 URL の運営側、利用側、ブランド側、個人ユーザー側の四方向で防御を組み合わせることです。