短縮URL・リダイレクトチェーンの危険性｜転送先をクリック前に確認する

セキュリティ フィッシング URL 短縮URL
心配なURLはこちらから確認できます

bit.ly や t.co の先が何かわからないときは、URLセキュリティチェッカー に貼り付けて短縮URLリスクと構造を確認してください。VirusTotal への照合リンクも用意しています。

結論：短縮URLは中身が見えない
  • 問題: bit.ly表示≠最終転送先
  • 注意: 3ホップ超・HTTPSダウングレード
  • 手順: コピー → チェッカー → VirusTotal

1. 短縮URLを構造解析する

短縮URLサービス（bit.ly、t.co、tinyurl.com 等）は正当な用途も多い一方、フィッシングメール・SMSで最終転送先を隠すために悪用されます。CaptainDNS の調査解説 では、短縮リンクがフィッシングベクトルとして機能する理由（表示ドメインが正規で、先が悪意ある）が整理されています。

🛡️ この場でURLの安全性をチェックする

セキュリティスコア
-- / 100 点
待機中

URLを入力して診断ボタンを押してください。

評価内訳・サブ指標

通信・暗号化プロトコル --%
ドメイン & ファイル安全度 --%
0 正常
0 注意
0 危険

外部脅威データベース照合

VirusTotal 一括照合 Safe Browsing 照合 urlscan.io スキャン WHOIS 情報確認

詳細セキュリティ診断レポート

13 項目

セキュリティ診断実行待ち

上の「セキュリティ診断を実行」ボタンを押すと結果が表示されます。

2. 悪意あるリダイレクトチェーンの特徴

Have I Been Squatted の解説 によると、悪意あるチェーンは次の性質を持ちます。

特徴説明検知のヒント
クローキングボットには benign、人間にはフィッシング自動スキャンだけでは不十分
中間ドメインの使い捨て数時間で消える hopWHOIS・ドメイン年齢が新しい
JSリダイレクトHTTP 3xx だけでは追えないブラウザ実行が必要
正規サービス経由短縮URL → 侵害WordPress → フィッシング途中 hop が正規に見える

3. 危険シグナルの分岐表

以下のうち 2項目以上 該当したら、クリック前に詳細スキャン（VirusTotal / urlscan.io）を推奨します。

#シグナル例
1最終ドメインが30日未満の新規取得.xyz + 登録14日
2チェーンが3ホップ以上短縮 → 転送 → 転送 → ログイン
3HTTPS→HTTP ダウングレード途中で暗号化が切れる
4有名サービスのタイポドメインpaypa1.com
5URLパスに login / verify / secure/account-verify/login

4. 正規短縮URLとの見分け

用途典型ドメイン確認方法
SNS共有t.co、youtu.be投稿者アカウントの信頼性を確認
マーケティングbit.ly、utm付き公式アカウントからの投稿か確認
不明なメール/SMS任意の短縮必ず チェッカー＋VirusTotal

5. よくある失敗（Failure Boundary）

  1. 「短縮URL展開サイト」だけで安心 — 展開しても cloaking でスキャナと人間の結果が異なる場合があります。
  2. QRコード経由の短縮URL — スマホカメラで即開く習慣は危険です。可能ならURL文字列を取得してから診断してください。
  3. 社内Slack/Teamsの短縮リンク — アカウント侵害で正規チャンネルから悪意リンクが投稿される事例があります。