URLを見ても、偽サイトだと見抜けないことがあります。2026年10月の研究で、本物そっくりに見えるアドレスが、Chromeのアドレス欄にそのまま出ることが示されました。
ただし、この手口で実際に被害が出た、という報告ではありません。研究者が、研究のために自分で登録したアドレスでの確認です。
研究で示されたこと
Have I Been Squattedという会社の研究者が、2026年10月3日に公開した調査です（調査の原文（英語））。キリル文字（ロシア語などで使う文字）を混ぜて、apple.comに似せたアドレスを、研究のために登録しました。appleの5文字すべてが、形の似た別の文字に置き換えられています。aとpは、ほぼ同じ形です。
文字で書くと、аррӏө.comです。このアドレスは、本物のappleに見えますが、本物ではありません。
Chromeのもとになっているブラウザには、見た目が紛らわしいアドレスを「xn--」で始まる形で表示するルールがあります（Chromiumの説明（英語））。研究は、このルールをすり抜ける綴りがあることを示しました。Chrome 154（Mac）では、このアドレスが文字のままアドレス欄に出て、接続が保護されている表示（英語で Connection is secure）が出た、と報告されています。Chromeには警告が出る場合もありますが、この例では出なかった、とあります。
メールでは、検証したメールで、Gmailのウェブ版は、送信元のドメインをそのままの文字で表示しました。Outlookのウェブ版は、「xn--」で始まる形で表示しました。どちらも既定の設定でした。研究は、どちらのメールも、似たアドレスかどうかの確認はしていない、と書いています。
.comには、アルファベットのアドレスに似た、こうした文字入りのアドレスが、調査の時点で、154,567件登録されています。ただし、研究は、これを「悪用が確認された例」ではなく、「似ている可能性があるもの」として数えています。
この研究の条件は、研究が確かめた時点のブラウザとメールの話です。今のブラウザで同じように表示されるかは、確かめていません。
「保護されている」の表示だけでは、決められません
Chromeのヘルプでは、アドレス欄の左端のアイコン（接続が保護されている状態）は、このサイトとの間で送受信される情報のプライバシーが保護される、という意味だと説明しています。サイトと安全に接続していても、個人情報を入れるときは注意が必要だと案内しています（Chromeヘルプ）。
研究では、そっくりなアドレスで、証明書も有効と表示されました。アドレスや、差出人の表示を見ることは、手がかりの1つです。それだけで、本物と決めることはできません。
うちの確かめ方
私は、メールやSMSのリンクは押しません。迷ったときは、公式アプリか、自分で開いたサイトで確かめます。自分で開く、というのは、メールやSMSのリンクを使わずに、ブックマークや、いつも使っているアプリから開くことです。
私がパスキーを使っているのは、Googleだけです。研究者は、本物のドメインで登録したパスキーは、そっくりなアドレスのログイン画面には応答しない、と説明しています。
メールの種類ごとの確かめ方は、こちらに書きました。
入力してしまったら
そっくりなサイトに、パスワードを入れてしまったときは、本物のサイトかアプリから、そのアカウントのパスワードを変えます。同じパスワードを使っているほかのサービスも、あわせて変えます。Googleのヘルプでも、第三者がログインしている疑いがあるときは、すぐにパスワードを変えるよう案内しています（Googleアカウントヘルプ）。確認コードを入れてしまったときなど、入れたものごとの動き方は、上のメールの記事の「押してしまったとき」にあります。個人情報の流出のお知らせが届いたときは、こちらです。
家族に伝えておくこと
うちでは、自分で判断のつかないものは、私にLINEでスクショを送ってくれるようになっています。
このページの内容は、2026年10月15日に、研究の原文、Chromiumの説明、Chromeヘルプで確認しました。
