ブラウザのブロックリストで、フィッシングサイトはどこまで防げるか

前回のフィッシングサイトをドメイン登録事業者に通報する方法の最後に、次の一手として触れたのが「ブラウザ側でフィッシングサイトを止める」層です。ドメイン登録事業者とは別の層で、仕組みも違います。

ブロックリストはサイトを落とすものではありません。サイトは動いたまま、DNS も正常で、HTTP 200 を返していても、訪問者のブラウザには全画面の警告が出ます。ドメイン登録事業者が動かなくても訪問者を守れる、というのがこの層の価値です。この記事では、各層が何をするのか、どこに限界があるのかを整理します。手順書ではありません。

全体像：3 つの層

運営会社はそれぞれ別で、審査の流れも別です。どこも審査にかかる時間を公表しておらず、急いでもらう手段もありません。

Google Safe Browsing

Safe Browsing は、主要ブラウザの警告画面の裏にあるリストです。Google 自身のシステムがフィッシングだと確認して初めて掲載されるため、通報は審査の材料の 1 つであって、命令ではありません。

Google は反映までの時間を公表しておらず、ここで数字を作ることもしません。OpenBait が実際に計測できたのは 1 件だけです。2026 年 4 月 25 日に通報した .cn のサイトでは、3 日たっても警告は確認できず、同じサイトはドメイン登録事業者側の経路で約 1 日後に停止しました（.cn のフィッシングサイト：Tencent 経由なら 1 日で停止に表があります）。

この件や他の例から言えることが 2 つあります。

• 掲載は個別の URL に対するもので、ドメイン全体ではありません。攻撃者がページのアドレスを変えると、既存の掲載から外れることがあります。
• スキャナーや特定の国からの接続を拒んで Google の再検証から隠れるサイトには、警告が最後まで出ないことがあります。

Microsoft SmartScreen

SmartScreen が守るのは Microsoft 製品です。審査は担当者が証拠を自分で判断して行うため、確認できない通報は後回しになりがちです。Microsoft 以外のブラウザには警告が出ないので、カバーできるのは一部のユーザーだけです。反映の時期も公表されていません。

DNS レベルのブロックリスト

名前解決の段階で止める仕組みで、ブラウザがサイトに到達する前に遮断されます。フィルタリング DNS は複数あり、それぞれ独自の脅威情報フィードを使っています。効果は訪問者がどの DNS を使っているかに左右されるため、特定の 1 つに統一している企業ネットワークで最も役に立ちます。こちらも反映の時期は公表されていません。

通報しても警告が出るとは限らない

通報したことと警告が出ることは別です。審査は遅く、結果は保証されず、3 つの層は判定を共有しません。ある層でブロックされても、別の層では何も起きていないことがあります。リストに載ってもサイト自体はなくならず、サーバーは動き続け、運営者は同じ一式を新しいアドレスに移せます。

したがってブロックリストは、ドメインを管理するドメイン登録事業者、サーバーを管理するホスティング事業者と並ぶ層の 1 つ、と捉えるのが実態に近いです。OpenBait が計測した 1 件では、実際にサイトを止めたのはドメイン登録事業者側の経路でした。

OpenBait での対応

通報されたサイトがフィッシングと確認できた時点で、OpenBait は次のことを行います。

1. ヘッドレスブラウザでページを取得し、証跡として保存します
2. OpenBait が、主要なブラウザやウイルス対策ソフトが参照するブロックリストに URL を提出します
3. 各提出を案件に記録し、何をいつ送ったか、いまどの状態かを確認できるようにします

通報の最初から最後までの流れは通報からテイクダウンまでにまとめています。

---

類似ドメインやフィッシングサイトを見つけたとき、選択肢は 1 つの経路だけではなく、ブロックリストはそのうちの 1 つです。ドメイン登録事業者やホスティング事業者への対応の代わりにはならず、OpenBait の実測では 3 日たっても警告が出ない例がありました。任せたい場合は、Free プランで試してみてください。