標準的なドメイン名システム（DNS）の解決は、通常、人間が読めるドメインをIPアドレスにマッピングするために、さまざまなサーバーにプレーンテキストのクエリ（最も一般的なのはUDP経由）を送信することで機能します。このデータは転送中に暗号化されないため、傍受に対して脆弱です。個々のユーザーは、ネットワークプロバイダーがリクエストを乗っ取ったときにこの脆弱性に気づくことがあります。プロバイダーは実際の宛先サーバーを返す代わりに、独自のIPアドレスを提供し、事実上ユーザーの接続をリダイレクトします。
この画像は、プレーンテキストのクエリが傍受されリダイレクトされるDNSハイジャックの仕組みを説明しています。
この視覚資料は、返されたIPアドレスの所有権を示すことでハイジャックの証拠を提供します。
データの整合性を確保する一つの方法は、DNS Security Extensions（DNSSEC）です。しかし、多くのユーザーはDNSSECを暗号化と混同していますが、実際にはDNSレコードが真正であることを検証するために暗号署名を使用します。ドメイン所有者が正しく有効な信頼の連鎖を実装していれば、乗っ取られたレスポンスは検証に失敗し、リゾルバーは詐欺的なIPではなくエラーを返します。ここでの制限は採用率です。2026年後半時点で、評価されたドメインのうち完全に検証可能なDNSSECチェーンを所有しているのは約7%に過ぎません。ドメイン所有者による適切な構成がなければ、DNSSECは転送中の暗号化されていないトラフィックに対するISPの改ざんを防ぐことはできません。
ISPの干渉を回避するために、ユーザーはUnboundのようなローカルリゾルバーや、DNS over TLS（DoT）、DNS over HTTPS（DoH）、またはDNSCryptを促進するdnscrypt-proxyなどのツールを使用できます。これらのプロトコルはDNSクエリを暗号化されたトンネルで包み込み、ISPが特定の要求内容をのぞき見たり修正したりすることを防ぎます。これはユーザーと選択したリゾルバーの間の経路を保護しますが、信頼のポイントをISPからそれらのサーバーを運営するサードパーティプロバイダーへと移行させます。さらに、暗号化されたDNSを使用している場合でも、すべてのインターネットトラフィックがVPN経由でルーティングされない限り、ISPはその後のTLSハンドシェイク中のServer Name Indication（SNI）を介して訪問サイトを特定できる可能性があります。
この画像は、DoHのような暗号化トランスポートプロトコルがどのように改ざんを防ぎ、正しいデータを返すかを示しています。