短.beサブドメインテイクオーバーとは、組織が使用を停止したサブドメインの DNS レコード (主に CNAME) が残存している状態を悪用し、攻撃者がそのサブドメインを乗っ取る攻撃手法である。例えば blog.example.com が外部サービスを指す CNAME レコードを持ったまま、そのサービスのアカウントが削除された場合、攻撃者が同じサービスで新規アカウントを作成してサブドメインの制御権を奪取できる。
攻撃の仕組みは以下の通りだ。組織が AWS S3、GitHub Pages、Heroku などの外部サービスでサブドメインを運用し、後にサービスを解約する。しかし DNS の CNAME レコードを削除し忘れると、そのサブドメインは「宙に浮いた」状態になる。攻撃者は対象の外部サービスで同じホスト名を登録し、任意のコンテンツを配信できるようになる。正規ドメインのサブドメインであるため、フィッシングや Cookie の窃取に悪用されることがある。
短縮 URL サービスでカスタムドメインを設定する場合にも、このリスクがある。短縮 URL サービスの利用を停止する際、カスタムドメインの CNAME レコードを DNS から削除しないと、攻撃者にサブドメインを乗っ取られるおそれがある。乗っ取られたサブドメインで悪意ある短縮 URL が発行されると、組織のドメイン信頼性を利用したフィッシング攻撃が可能になる。
OWASP の Web Security Testing Guide は、対策として該当する DNS レコードをゾーンから削除することを挙げ、継続的な監視と定期的な確認を勧めている (2026 年 10 月時点)。同じガイドは、サブドメインの乗っ取りを検出する道具として subzy や nuclei を挙げている。運用の側では、サービス解約時のチェックリストに DNS レコードの削除を入れる方法もある。また CAA レコード (RFC 8659) で証明書を発行してよい認証局を指定しておくと、意図しない証明書の発行のリスクを減らせる。