Google の Chrome セキュリティチームは 2026 年 10 月 6 日、前の週に .gh（ガーナ）、.sl（シエラレオネ）、.as（米領サモア）の国別コードトップレベルドメインで一連のドメイン乗っ取りを把握したと公表しました。Google は自社のシステムは侵害されていないと強調しています。侵害されたのは第三者が運営する ccTLD 側で、これらの末尾を持つすべてのドメインが危険にさらされました。攻撃者は乗っ取りの間に権威 DNS レコードを書き換え、複数の Google ドメインや他の組織のドメインを対象とする不正な HTTPS 証明書を取得しました。Google によれば、攻撃の性質上、証明書を発行した認証局（CA）に落ち度があったと考える理由はありません。DNS を攻撃者が握っていれば、ドメイン検証は通ってしまうからです。
Google が取った対応
- CRLSets を通じて Chrome で Google の不正な証明書を直ちにブロックし、発行元の CA と協力して証明書を失効させ、Chrome 以外のクライアントの利用者も保護しました。
- その後、証明書の透明性（CT）ログのデータから、世界的な有名ブランドや広く使われているオンラインサービスを含む他の組織も同じ攻撃の影響を受けたとみられることが分かり、それらの証明書も Chrome でブロックし、可能な範囲で該当する組織に連絡しました。
- Chrome の利用者は何もする必要はありません。ただし Google ははっきりと、ブラウザ側の介入に頼るべきではないとしています。影響を受けたドメインをすべて見つけられたとは保証できず、Chrome の介入は他のブラウザの利用者を確実には守れないからです。
Google は証明書の数も発行した CA も公表していません。私たちが 10 月 12 日に公開の CT ログを照会したところ、9 月 22 日から 27 日の間に Let's Encrypt が youtube.com.gh、google.sl、youtube.sl、youtube.as などのドメイン向けに発行し、9 月 26 日から 10 月 1 日の間に失効した証明書が見つかりました。同じ期間にこれらのドメインで確認できたその他の証明書は、いずれも Google 自身の Google Trust Services が発行したものでした。自動化されたドメイン検証の性質上、DNS を握った者は正規の手順どおりに証明書を取得できてしまうのです。
サイト運営者にできる 2 つのこと
- 証明書の透明性（CT）ログを継続的に監視する。既定で信頼される証明書はすべて公開の CT ログに記録されなければならないため、CT を監視すれば、自分のドメインに証明書が発行されたときにほぼリアルタイムで通知を受けられます。Google は、使っていない駐車中のドメインや地域別の国別ドメインも含め、保有するすべてのドメインを監視対象にするよう求めています。
- ACME アカウントに紐付けた制限的な CAA レコードを公開する。CAA は、どの CA が自分のドメインの証明書を発行してよいかを宣言する DNS レコードです。Google の説明は的確です。CAA は乗っ取りの最中の発行は防げませんが、DNS の制御を取り戻した後に重要な防御になります。CA は完了したドメイン検証の結果をキャッシュして再利用できますが、CAA で発行を特定のアカウントと検証方法に限定しておけば、攻撃者が乗っ取り終了後にキャッシュされた検証結果を使って新たな証明書を発行することを防げます。
自分のドメインでの設定方法
Let's Encrypt の CAA ドキュメント（10 月 4 日更新）は 2 つのパラメータを説明しています。accounturi は申請できる ACME アカウントを 1 つに限定するもので、ドキュメントによれば、ドメインを一時的に乗っ取っても ACME アカウントの鍵を持たない者が悪意ある証明書を発行できないようにします。validationmethods は検証方法（http-01、dns-01、tls-alpn-01）を限定します。Let's Encrypt だけ、しかも自分のアカウントだけに発行を許すレコードは、おおよそ次のようになります。
example.com. CAA 0 issue "letsencrypt.org;accounturi=https://acme-v02.api.letsencrypt.org/acme/acct/YOUR_ACCOUNT_ID"アカウント URL は ACME クライアントのアカウント情報で確認できます（certbot なら certbot show_account）。CAA レコードは加算的に働き、どれか 1 つでも発行を許すレコードがあれば発行できてしまうので、古い緩いレコードは削除してください。CA/ブラウザフォーラムの投票 SC098v2 により、2027 年 3 月 15 日からはすべての CA がこの 2 つのパラメータを処理しなければなりません。DNS レコードの追加方法は ドメインを VPS に向ける：DNS 設定入門を、DNS を Cloudflare で管理している場合は Cloudflare で VPS サイトを高速化・保護するを参照してください。証明書の有効期間の変更については Let's Encrypt の 64 日証明書の記事をご覧ください。