もう少し詳しく

タイポスクワッティングたいぽすくわってぃんぐとは、正規のサービス名・サイト名・リポジトリ名などによく似た、見分けにくい別名を攻撃者が用意し、利用者や内部の仕組みを本物と誤認させる手口のことです。綴りの一部を入れ替えたり、ハイフンやアンダースコアを1つ追加・削除したりするなど、ひと目では気づきにくい差だけを作るのが特徴です。

どこで使われるか

Webサイトのなりすまし(本物のサービス名に似たドメインを使うフィッシングサイトなど)や、ソフトウェアの部品を配布するサイトでの偽パッケージ名、プログラムのソースコードを管理するリポジトリ名の偽装など、「名前の見た目だけを信じて次の操作をしてしまう」場面で使われる手口です。

身近な例

Microsoftが2026年10月23日に公表した、AI向けPythonパッケージ「LiteLLM」の侵害事件では、正規のリポジトリ名「BerriAI/litellm」に対し、ハイフンを1つ追加しただけの「Berri-AI/litellm」という別のリポジトリが使われ、リリースの作業手順(ワークフロー)がそちらを元にビルドするよう書き換えられていたと報告されています。人間だけでなく、自動化された作業手順もこうした見分けにくい別名にだまされる対象になります。

注意点

タイポスクワッティングは、1文字・1記号の違いだけで成立するため、見た目の確認だけでは見抜けないことがあります。重要なリポジトリ・配布元を指定する設定では、名前の表記だけでなく、組織の所有者情報や公開されているハッシュ値などの、より確実な手がかりで照合することが被害を防ぐ手がかりになります。