アーム代表の伊藤です。
10月21日の夜、自社の記事の順位を測っていたら、月1,300回検索される語の11位に、公開8日目の見知らぬサイトがいました。URLは南米の国立大学で、中身はコスプレと干し柿の記事です。大学のドメインは、更新を忘れたからではなく、学会の後に放置したサブドメイン1つから乗っ取られます。
乗っ取られたのは更新を忘れた大学ではない。今も更新している大学だった
- 取られたのは学会用のサブドメイン1つ
- 10月13日公開の記事が8日で11位
- 本物なのは大学のドメインだけ
大学のルートドメインは今日も大学が運用しています。取られたのは学会のために作られたサブドメイン1つでした。そこに2026年10月13日、日本語の記事が置かれ、「コピーライト 書き方」で8日後に11位です。
| 確かめたこと | 結果 |
|---|---|
| DNSの向き先 | 大学とは別の米国のクラウド事業者 |
| 記事の種類 | 医療・野球場・コスプレ・干し柿 |
| 著者・カテゴリ | 架空の名前・16字のランダム文字列 |
| 収益 | 広告スクリプトが1ページに5本 |
| 設定ファイル | サイトマップの行がテンプレのまま |
著者は架空で画像は他所からの直リンクです。このサイトで本物なのは大学のドメインだけです。売り物は中身ではなく、大学が何年もかけて積んだ信用です。
同じ語で、制作会社が何年も書いてきた記事が20位より下にいます。信用は中身より速く、順位になります。大学名は被害者なので伏せます。
住所録の行が1行だけ空いたまま残っていた
サブドメインは、DNSという住所録に「この名前はあのサーバーを指す」と書いて作ります。学会のサイトを置いていたクラウドの契約が切れても、住所録の行は残ります。行が残ったまま指す先が空くと、その空きを他人が取れることがあります。すると大学の名前で他人の中身が表示されます。
ルートの更新を忘れた話ではありません。更新していても消し忘れた1行から乗っ取られます。
大学と行政でサブドメインが残る理由。学会・年度事業・研究室
- サイトは行事ごとに増え、終わっても消えない
- 作った人は任期で入れ替わる
- 国内でも行政の事例が報じられている
大学のサブドメインは、学会、シンポジウム、研究室、年度ごとの事業で増えます。行事が終わるとサイトの契約は切られますが、住所録の行を消す人がいません。作った人は任期で入れ替わり、一覧は誰の手元にも残らないからです。
国内では10年で7件。大学と自治体の旧サイトがアダルトとカジノに
| 年・誰の何が | 使われ方 |
|---|---|
| 2016 新居浜市の観光サイト | 偽の観光サイトからカジノへ誘導 |
| 2017 内閣府の国際会議サイト | 出会い系の宣伝 |
| 2019 旧山梨医科大学の ac.jp | アダルト情報サイト |
| 2019 文科省の大学連携ポータル | 競売に出てアダルトサイト |
| 2019 大阪港150年記念サイト | アダルトサイト |
| 2026 東海大学の臨時ドメイン | 広告サイト |
| 2026 日本福祉大学の旧サイト | 第三者が再取得 |
国内の報道と当事者の発表だけでこの数です。新居浜市の担当者は「手放した旧ドメインを第三者が利用できるとは思わなかった」と答えています（2026年10月21日確認）。大阪港は、委託先から管理を引き継ぐときに権利の期間が抜け、契約が切れたと報じられました。手放したのではなく、引き継ぎで落ちた例です。
表の出典（2026年10月21日確認）
新居浜市は市の注意喚起と上のハフポスト日本版。内閣府の国際会議はSecurity NEXT 2017-12-22。
旧山梨医科大学は総務省の措置要請 2019-04-26と日経クロステック 2019-04-15。文科省のポータルは日経クロステック 2019-03-08と同 2020-12-11。大阪港は上のSecurity NEXT 2019-10-07。
東海大学は大学の告知 2026-04-23、日本福祉大学は大学の告知 2026-05-27（悪用の中身は未公表）。
ac.jpの審査が厳しくなった分、標的はサブドメインへ移った
旧山梨医科大学の件は、ac.jpの登録審査をJPRSが行っていなかったことが原因でした。JPRSは全数審査を徹底すると日経クロステックに答えています。審査のあるac.jpは、今は他人の手に渡りにくくなりました。だから狙われるのは、審査のない.comの旧ドメインと、審査が要らないサブドメインです。
2026年4月には、MITやハーバードなど34の.eduサブドメインがポルノ系スパムに使われていると報じられました（2026年10月21日確認）。調査者の言葉は「organizations create DNS records and never clean them up」です。
2025年には、放置されたDNSの行を使う手口でCDCやバークレー、UCLのサブドメインが乗っ取られたとセキュリティ企業が公表しています。
日本でもJPRSが2025年1月に、公開を終えたサイトのDNS設定を「公開を終了する際に、削除・変更する必要があります」と注意喚起しました。10月に見た大学の実例はこの注意喚起の9か月後です。
国は「停止後も1年以上保持」と決めた。大学は対象外
政府のドメインは別です。デジタル庁は2025年5月のガイドラインで「当該ドメインの運用停止後も１年以上当該ドメインを保持し」と定めました。DNSの行の削除漏れを防ぐ項目もあります（2026年10月21日確認）。対象は各府省のgo.jpで、大学も自治体の多くも、この決まりの外にいます。
期限切れ後の再登録は違法ではない。だからGoogleもJPRSも消してくれない
- 「待つしかない」が公開の相談への回答
- JPRSは差し止めできないと明記
- できるのは報告と埋め直しだけ
公開されている相談に制作会社の方の投稿があります。クライアントがドメインの更新を忘れ、気づいたときには性風俗のサイトに変わっていた。サービス名で検索するとまだそのサイトが出る。消せないか。
回答は「待つしかない」でした。
JPRSも、商標の侵害などの事由がない限り「第三者によるそのドメイン名の登録・使用を差し止めることはできません」と書いています（2026年10月21日確認）。期限が切れて誰のものでもなくなった名前を登録するのは、制度上は正当な手続きだからです。ac.jpのような属性型JPドメインは、廃止の翌日から6か月は誰も登録できませんが、その後は先着順です。
ポリシーはある。取り締まりが追いつく前の数週間が商売になる
Googleはこの手口を「期限切れのドメインの不正使用」と呼び、2024年3月5日にスパムに関するポリシーへ加えました（2026年10月21日確認）。ポリシーの例は「以前に政府機関が使用していたサイト」「以前に小学校が使用していたサイト」です。公的なドメインは、Googleが例に挙げるほど典型の標的です。
報告の窓口はあります。ただし説明は「手動による対策を講じるために、お客様のレポートを使用する場合があります」で止まります（同日確認）。2024年には別の運営者が「何度も申告したが対応されない」と相談しています。
報告はしてよい。消える前提で待たない。
| やること | 見込み |
|---|---|
| Googleへスパムを報告 | 受け付けるが対処の約束なし |
| 元の持ち主としての申し立て | 取り戻す手続きがない |
| 名称を使われた場合 | 弁護士へ。商標・不正競争の線 |
| 正規のサイトを強くする | 検索結果で上に出し、下へ押す |
乗っ取られる前に大学がやること。住所録の棚卸しと担当の引き継ぎ
- 見るのは名義・期限・DNSの全行・向き先
- 行事が終わった日に行を消す
- 一覧は部局ではなく組織の手元に
乗っ取りを防ぐ作業は、サイトを作る日と閉じる日に集中しています。閉じる日に住所録の行を消せばこの穴は開きません。次の4つを一覧にします。
研究室や学会の名義になっていないか
ドメインやクラウドの契約が研究室や学会の事務局の名義だと、任期が終わると請求も通知も届かなくなります。組織の名義でない契約は組織の判断では止められません。
| 名義の状態 | 判定 |
|---|---|
| 組織の名義・組織の窓口に通知 | 任期が終わっても続く |
| 研究室・学会・個人の名義 | 交代で切れる |
年度と任期で切れる契約を表に書く
年度予算で借りたクラウドは年度末に切れ、担当者は任期で替わります。契約の期限と担当の任期を同じ表に書けば、どちらが先に切れるかが見えます。
| 確かめること | 判定 |
|---|---|
| 期限・担当・通知先が一覧にある | 交代しても切れない |
| 担当者の記憶だけ | 退職で消える |
全行を書き出して行事が終わった行は消す
DNSの管理画面には、学部、研究室、学会、年度事業の行が並んでいます。1行ずつ用途と使用中かを埋め、行事が終わった行は削除します。解約したクラウドを指したままの行が乗っ取りの入口です。
| 行の状態 | 判定 |
|---|---|
| 用途と使用中かが全行で分かる | 消す行が決まる |
| 解約済みのサービスを指す行がある | 今すぐ消す |
残す行は指す先が今も自分の契約かを確かめる
残す行は、指す先のサーバーやクラウドが今も組織の契約かを確かめます。外部のサービスに向けた行は、そのサービスの解約と同時に消します。行を消す日をサービスを解約する日に揃えます。
| 向き先 | 判定 |
|---|---|
| 組織の契約中のサーバー | そのまま |
| 解約済み・契約者不明 | 行ごと消す |
この表の根拠と時点
項目は、2026年10月21日に確かめた実例と、JPRSの「ドメイン名の廃止に関する注意」を合わせたものです。アームの引き継ぎ案件で見てきた名義の実態も入れています。
中小企業にも同じ穴がある。制作会社の検証用・キャンペーン用・旧CMS
- 大学の学会用と同じ3か所が残る
- 制作会社を替えると作った人がいなくなる
- 替える前と作り直す前に棚卸しする
大学の学会用サブドメインは、中小企業では制作会社の検証用、キャンペーン用、旧CMSに当たります。どれも作った人は覚えていて、頼んだ側は知らない名前です。制作会社を替えると作った人がいなくなり、一覧が無いサブドメインは誰も消せません。
| 場所 | よくある名前 |
|---|---|
| 制作会社の検証用 | test・dev・stg・preview |
| キャンペーン・採用用 | lp・campaign・recruit・2024 |
| 旧CMS・旧サービス | blog・shop・old・www2 |
自分のサイトでも「全部把握している」とは言えない
アームのサイトも、記事を直すたびに検証用のURLが自動で立ちます。2026年9月に、本番以外のURLには検索に載せない指示（noindex）を自動で付け、旧い検証用のサーバーも削除しました。それでも移行の試行で残った設定が1つあります。実害は無い行ですが、消し忘れは、気をつけている側にも残ります。
取引先に「おたくの名前で変なサイトが出る」と言われてからでは遅い
そう言われてから調べ始めると作った人はもういません。上の4つの一覧は、制作会社を替えるときの引き継ぎ資料そのものです。アームでは引き継ぎや作り直しの相談を受けたとき、名義・DNS・サブドメインの棚卸しを最初にやります。
名義が制作会社のまま動けない状態なら名義を自社に戻す手順を先に読んでください。棚卸しだけの相談もお問い合わせから受けています。
大学のドメインの乗っ取りについてよくある質問
乗っ取られたサブドメインは取り返せますか？
住所録の行を消せば、大学の名前で他人の中身が出ることは止まります。すでに検索結果に載った分は、行を消した後にGoogleのクロールを待ちます。名称を使われている場合は弁護士に相談してください。
使い終わったドメインは手放してよいですか？
社名やサービス名の付いた名前は手放しません。持ち続ける費用は、たとえば.comで年1,721円です（エックスサーバードメイン・税込・料金ページ・2026年10月21日確認）。ドメインは持っている間だけ自分のものです。
Googleに消してもらえますか？
報告はできますが対処の約束はありません。報告は個人を特定できる情報を含めずに送ります。消せない前提で正規のサイトを上に出します。
大学のドメインは放置したサブドメインから乗っ取られる。中小企業の検証用も同じ
- 更新していても消し忘れた1行から取られる
- 取られた後は消せない。閉じる日に行を消す
- 制作会社を替える前に名義とDNSを棚卸しする
