オープンリダイレクトとは　自社のURLが偽サイトへの入口に使われる仕組みとフィッシングとの関係

オープンリダイレクトは、サイトの転送の機能が、どこへでも転送できてしまう欠陥です。 攻撃者は、この欠陥を使って、自社の本物のURLから偽サイトへ利用者を送ります。 このページでは、オープンリダイレクトと、それが使われるフィッシングの2語を説明します。

リダイレクトとは、あるURLを開いた人を、自動で別のURLへ送る仕組みです。

オープンリダイレクト（Open Redirect）

• 何の略か 略語ではありません。
• 日本語では 「オープンリダイレクト」と書きます。「未検証のリダイレクト」とも言います。
• 一言の定義 URLに書かれた行き先を確かめずに転送するため、外部の任意のサイトへ転送できてしまう欠陥です。
• どんなリスクがあるか https://example.com/login?next=https://偽サイト/ のようなURLを作られます。利用者には、先頭の自社のドメインしか目に入りません。迷惑メールの判定も、自社のドメインのURLとして通してしまうことがあります。
• 影響を受ける運用 ログインの後に元のページへ戻す機能や、広告のクリックを数えて転送する機能を、自社で作っているサイトです。
• 実際の事例 確認できませんでした。
• 分類番号 CWE-601（信頼できないサイトへのURLの転送）です。OWASP Top 10:2025 では A01:2025（アクセス制御の不備）にあたります。

フィッシング（Phishing）

• 何の略か 略語ではありません。
• 日本語では 「フィッシング」「フィッシング詐欺」と書きます。
• 一言の定義 本物の会社を装ったメールやSMSで偽のサイトへ誘い、パスワードやカードの番号を入れさせる詐欺です。
• どんなリスクがあるか 自社の名前を使われると、被害にあった利用者からの問い合わせと、会社の信用の低下が起きます。オープンリダイレクトがあると、偽サイトへのリンクが本物らしく見えます。
• 影響を受ける運用 会員のログインやネットでの決済があるサイトです。
• 実際の事例 個別の会社の被害事例は、確認できませんでした。
• 分類番号 フィッシングは攻撃の手口の名前なので、CWEの番号はありません。

自分のサイトで確かめる方法

確かめるのは、自分が管理するサイトだけにします。

1. サイトのURLの中に、next=、url=、redirect=、return= のような、行き先を表す値がないかを探します。
2. その値を https://example.org/ に変えて開きます。
3. 自社のサイトの外へそのまま転送されたら、オープンリダイレクトの状態です。

プロンプト駅の「コードの点検」に、転送の処理のプログラムを貼ると、行き先の確かめ方をAIに点検させる文を作れます。

直し方の要点

• 転送の行き先は、URLそのものではなく、番号や名前で受け取ります。番号から行き先を引く表は、サイトの側に置きます。
• URLで受け取るしかないときは、自社のドメインの一覧と照らし合わせ、一致したときだけ転送します。
• 外部のサイトへ送るときは、転送の前に「外部のサイトへ移動します」という確認の画面を出します。
• 自社の名前を使ったフィッシングを見つけたら、フィッシング対策協議会へ報告できます。

出典

• OWASP「Unvalidated Redirects and Forwards Cheat Sheet」 https://cheatsheetseries.owasp.org/cheatsheets/Unvalidated_Redirects_and_Forwards_Cheat_Sheet.html
• MITRE「CWE-601 URL Redirection to Untrusted Site ('Open Redirect')」 https://cwe.mitre.org/data/definitions/601.html
• フィッシング対策協議会 https://www.antiphishing.jp/

関連するページ

• Webセキュリティ用語辞典の索引
• SPF・DKIM・DMARC（なりすましメールを防ぐ設定）
• Webサイトセキュリティ診断では、転送の機能の挙動を外から点検し、修正方法を添えて報告します。