GlaCat がフィッシングと悪質な短縮URLを遮断する仕組み

GlaCat は新規に作成されるすべての短縮URLに対してリアルタイムで安全性検査を実行し、既存のリンクも毎時再スキャンします。フィッシングまたは悪質と判定されたリンクは、人の確認を待たずに作成拒否または自動停止されます。

事後対応ではなく、作成時点で検査する

多くの短縮URLサービスは、通報を受けて初めて問題のあるリンクに対処します。GlaCat は逆のアプローチを取ります。利用者が「短縮URLを作成」を押したその瞬間に、リンク先が安全性検査を通過しなければ短縮コードは発行されません。検査に通らなかった場合はリンクそのものが作成されず、画面に拒否された理由が表示されます。

• ヒューリスティック規則:IPアドレスを直接ホストに指定したリンク、URL内に認証情報を含む userinfo 形式(https://user:pass@host など)、非標準ポート、そして他の短縮URLサービスへの入れ子転送(GlaCat 自身を含み、無限の連鎖を防ぎます)を遮断します。
• Google セーフ ブラウジング:Google が管理するフィッシングおよびマルウェアのURLデータベースと照合します。
• abuse.ch URLhaus:コミュニティから報告されたマルウェア配布URLと照合します。

外部の脅威情報サービスに一時的に接続できない場合、システムはフェイルオープンで動作します。外部サービスの障害によって正規の利用者を拒否することはありませんが、ヒューリスティック規則は常に有効です。

既存リンクを毎時再スキャン

URLの中身は変わります。今日は正常なページでも、明日にはフィッシングページへ改ざんされているかもしれません。GlaCat は毎時バックグラウンドのスケジュール処理を実行し、既存のURL型リンクを分割して再スキャンします。再スキャンで悪質と判定されたリンクは即座に停止され、その短縮URLは以後転送されなくなり、管理画面の要対応キューに入ります。

不正利用対策:レート制限とアカウント上限

フィッシング用の短縮URLを大量生成するのは典型的な攻撃手法です。そのため GlaCat は作成速度そのものも制限しています。同一送信元IP(ソルト付きハッシュで照合し、平文は保存しません)につき匿名では毎時20件、ログイン時は毎時100件まで。ログイン済みアカウントにはさらに1日300件の上限があり、「ログインしてIPを変える」という回避を防ぎます。匿名での作成には必ず Cloudflare Turnstile の人間確認が必要です。

カスタム短縮コードは現在提供していません。ブランド名や公式に見えるコードを先取りされ、詐欺の信憑性を高める材料にされることを避けるためです。

通報と24時間以内の削除

glacat.com で始まるリンクがフィッシング、詐欺、違法コンテンツを指していると気づいた場合は、完全な短縮URLを添えて report@glacat.com までご連絡ください。24時間以内の対応をお約束します。性的画像および児童保護に関わる通報は優先して処理します。管理側で行った停止・削除の操作はすべて監査ログに記録され、必要な場合には司法機関への証拠として提出できます。