以前、独自ドメインの移管を行ったのですが、その際に個人情報が流出してしまい、迷惑なメールが届くようになってしまいました。
ドメイン移管には、このように個人情報が流出してしまう（厳密に言えば、「流出」ではありませんが）危険性があります。
今回は、ドメイン移管に伴って発生した問題の詳細と、その原因について詳しく説明したいと思います。
独自ドメインにおける個人情報の取り扱いと移管の仕組み
独自ドメインを取得する場合、基本的には取得者の情報（氏名・住所・電話番号・メールアドレス）を Whois というシステムに登録することが求められます。また、この情報はインターネット上に公開され、誰でも検索することができます。
ただ、例外的にその個人情報を、ドメイン取得業者が肩代わりすることができる仕組みがあり、その仕組みを、「Whois情報公開代行」と言います。
現在、一部法人を除き、多くのユーザーがこの Whois情報公開代行を利用していますが、この仕組みによって個人情報をさらさずに安心してサイトの運営を行うことができています。
ところが、ドメインを他社に移管する場合は、この Whois情報を一旦個人のものに戻す必要がでてきます。
これは、移管先の業者（正確にはレジストリ）が、そのドメインの所有者と、移管を希望する契約者が同一であることを確認する必要があるためです。他人のドメインを勝手に移管されるようなことがあってはなりませんので、当然ですね。
ただ、一旦 Whois情報公開代行が利用できなくなるため、ドメインの移管が完了するまでは、所有者の個人情報が一時的にせよ世界中にオープンになってしまうわけです。
その一時的に公開されてしまった、住所やメールアドレスなどの情報をすかさず取得し、以下のような営業メールを送ってくる業者がいるのです。
メールの内容を要約すると、「あなたがお持ちの独自ドメインの失効期限が近いです。一度失効すると、再度取得するのは非常に困難ですので、早く更新したほうがいいですよ。ぜひうちの会社でどうぞ。」といった感じになります。
提示してきている金額が、1年契約で 65～75ドルですので、1ドル120円とすると 7,800～9,000円/年と、国内の安めのドメイン業者と比べると 5～6倍になってしまいますので、べらぼうに高いですね。まあ、引っかかれば儲けものという感じで、システムで自動取得した情報をもとに、バンバン送りつけているだけだと思いますが。
こういったメールが、ドメイン移管した後や、翌年以降の更新時にもしつこく送られてくるわけです。
上の画像のグレーの部分には個人情報がばっちり書いてあり、氏名はもちろん、住所まで書いてくる業者もいます。この仕組みを知らないが見たら、ビックリするかも知れません。中には、脅されているような気になってしまう人もいるかもしれません。
もちろん、Whois情報は世界中に公開されているため、決して不正に情報を取得しているわけではありませんが、受け取る側からするとスパムメールと同じとしか感じられません。
実施したドメイン移管の流れ
ところで、問題が発生した際に、実際に行ったドメイン移管の流れを説明しておこうと思います。
移管を行ったドメインは 2つあり、移管先の会社は同じですが、移管元は別々の会社です。具体的には、以下のような感じです。
- ドメイン 1：A社 → A社
- ドメイン 2：B社 → A社
「ドメイン 1」は、A社同士で移管する形になっていますが、これは「A社のレンタルサーバー側で契約していたドメイン」を、「A社で運営している独自ドメインサービス」へと移管したからです。
そして、「ドメイン 2」は、一般的な「B社の独自ドメインサービス」から「A社の独自ドメインサービス」への移管です。
両方ともほぼ同時に移管の手続きを行ったにも関わらず、なぜか「A社 → A社」で移管した「ドメイン 1」のほうが移管に時間がかかり（4日程）、その間に業者に個人の情報を取得されてしまいました。（「B社 → A社」は同日中に完了）
なぜ同じ会社同士の移管なのにそちらは時間がかかってしまったのか、A社に確認したのですが、移管が行われるタイミングはその時々で異なるので、何とも言えないといった回答が来てしまいました。
一応、事前にこういった状況が起こる可能性考えてはいたものの、むしろ安全だと思っていた同社間の移管で問題が発生してしまったため、途方に暮れてしまいました。今回は問題が発生しなかった「B社 → A社」でも、同じことが発生する可能性は否定できません。
残念ながら、現在もこの問題を回避しつつ、独自ドメインを移管するためにはどうしたらいいのかわかりません。
まとめ
以上、ドメイン移管に伴う、個人情報流出の危険性について、実例を交えて説明しました。
せっかく Whois情報公開代行を利用していても、こうあっさりと他人に個人情報を取得されてしまうのであれば、ドメイン移管を躊躇してしまいますね。
法人であれば、そもそも会社名や所在地を隠す必要はないと思いますので、情報を取得されてもそれほど問題はないと思いますが、個人の場合はかなり致命的な問題になってしまいます。その危険性を考えると、できるだけドメイン移管は行わないほうが無難でしょう。
そのためには、一旦ドメインを取得したら、Whois情報公開代行を設定し、そのまま同じ会社で更新し続けるのがベストです。そして、ずっと使い続けるのであれば、最初からできるだけトラブルが起きそうなドメイン取得業者は避けるようにしたほうがいいでしょう。
