暗号資産サービスAcross Protocolのドメインが乗っ取られ、本来のURLで偽サイトが表示される事案が起きました。2026年11月11日の続報では、運営側がドメインの管理を取り戻し、サービスは復旧したと説明しています。
一般企業にも関係するのは、Webアプリ本体に問題がなくても、ドメインの管理権限を奪われると利用者の接続先を変えられるという点です。自社サイトの保守とは別に、登録会社のアカウントやDNSの管理を確認する必要があります。
Acrossは復旧を発表。詳しい侵入手順は未確認
Cointelegraphが伝えたAcrossの説明では、ドメイン登録会社Namecheapに対するソーシャルエンジニアリングによって管理権限を奪われたとされています。ソーシャルエンジニアリングは、人をだましたり手続きの隙を利用したりする攻撃を指します。ただし、今回どの本人確認や手続きを通過したのかは明らかになっていません。
同社は復旧と被害利用者への補償方針を示し、詳細な事後報告を出す予定です。確定した被害額・人数は未公表で、第三者サービスへの組み込みやAPI利用には影響しなかったと説明しています。Cointelegraphの復旧報道
登録会社を狙った攻撃という説明はAcross側の主張です。Namecheapによる詳しい説明や、二要素認証がどう扱われたかは確認できておらず、「二要素認証そのものが破られた」とは断定できません。
本物のURLなのに、なぜ偽サイトになる？
ドメインは、サイトの住所に当たる名前です。DNSは、その名前から接続先を調べる仕組みです。登録会社はドメインの登録や管理を扱い、DNSの運営会社は接続先の設定を扱います。同じ会社が両方を提供する場合もあります。
この管理が奪われると、利用者がいつものURLを開いても、攻撃者が用意したサイトへ接続させられることがあります。英国NCSCも、企業の普段使うドメインで偽サイトが表示されるリスクを説明しています。NCSCのDNS乗っ取り対策資料
利用者へ「URLをよく確認してください」と案内するだけでは、この種の被害を防ぎきれません。サイト運営側で、住所に当たるドメインと、その案内先を守る必要があります。
自社サイトで確認したい管理の分担
まずは担当者や制作・保守会社と、次の情報を一枚にまとめてみてください。
| 確認するもの | 分かるようにしておくこと |
|---|---|
| ドメイン登録会社 | 契約先、登録名義、管理責任者、緊急時の窓口 |
| DNSの運営先 | 誰が接続先を変更できるか、設定の控えがどこにあるか |
| 管理アカウント | 二要素認証、退職者・旧委託先の権限、復旧手続き |
| 変更通知 | 登録情報・ネームサーバー・DNSの変更を誰が確認するか |
| 異常時の連絡 | 夜間も判断できる担当者、利用者への案内場所 |
制作会社に任せている場合は、「サイトを直せる人」と「ドメインの管理権限を持つ人」が同じとは限りません。担当が分かれていても、事故時に互いを探すところから始めないようにしておきます。
重要なサイトほど、通常のログインだけでなく、アカウント復旧や問い合わせ経由の本人確認についても登録会社へ確認する価値があります。
「移管ロックが有効」で確認を終えない
ドメインを別の登録会社へ移すことを止めるロックと、ネームサーバーなどの重要な設定変更を止める保護は、同じものではありません。
NCSCは通常のロックに加え、追加確認を経なければ変更できないレジストリロックや、管理情報・ネームサーバーの変更監視を挙げています。提供される保護や対応するドメインは事業者によって異なるため、何を止める機能か、解除に誰の確認が必要かまで確認します。NCSCの解説
「移管を止めたのでDNSも変更されない」「二要素認証を有効にしたので復旧手続きも安全」とは限りません。利用しているサービスの仕様と運用を確かめる必要があります。
異常時は、利用者への案内と管理の回復を並行する
偽サイトの疑いがある場合は、担当者と登録会社・DNS事業者に連絡し、設定やアクセスの記録を保全しながら対応します。事情を確認せずDNS全体を削除すると、Web以外にメールなども止まる可能性があるため、停止する範囲を判断できる担当者が必要です。
同時に、問題のドメインに頼らず利用者へ知らせる手段も準備しておきます。公式SNSなど、事前に案内した別の連絡経路があれば、サイト自体を信用できない状況でも情報を届けやすくなります。
今回のような事案を受けて最初に確認したいのは、「自社のドメインを誰が管理し、異常に気づいたとき誰へ連絡するか」です。Webアプリの更新や診断と合わせて、管理権限・通知・復旧の手順まで点検すると、守る範囲の抜けを減らせます。
本稿は2026年11月11日時点の情報です。Acrossの公式X投稿は直接取得できなかったため、同社の説明はCointelegraphが掲載した内容に基づいています。詳細な事後報告によって原因や影響が変わる可能性があります。