お疲れ様です！
コウです。
インターネット上で行われる悪質なサイバー攻撃は年々多様化していて、いたちごっことも言われています。
その中でも近年攻撃力を増しているのは「SEOポイズニング」という検索結果に表示されるページを改ざんして訪問者を詐欺サイトに誘導するもの。
また、サイト運営者なら自分のサイトが知らず知らずの内にコピーされていて、不正サイトへの誘導に利用されている場合もあります。
こんなおれにも はき気のする悪はわかる！
「悪」とはてめー自身のためだけに弱者を利用しふみつけるやつのことだ！
といったわけで、ちょいと前に流行ったフィッシング詐欺にも似ている「SEOポイズニング」というサイバー攻撃について調べてみました。
SEOポイズニングの目的は詐欺ページに誘導すること
geralt / Pixabay
改ざんしたページをおとりに使って、不正プログラムを仕込んだ詐欺ページに誘導することをSEOポイズニングって言います。
この時、改ざんしたページは特定のキーワードで検索結果に上位表示させて、さも普通の無害なページを装います。
優しいフリしてあの子な感じですね。
SEOポイズニングに見られる手口
SEOっつたら、ページを最適化してグーグルなどの検索結果の上位に表示させることを言います。
これまでのフィッシング詐欺じゃ通用しなくなってきたので、今度はこの検索結果のページを利用しだしたわけです。
検索結果の上位表示に不正なページを忍び込ませるなんて訪問者にしてみたらいい迷惑ですよね。
リダイレクトで危険なサイトに誘い込む
「SEOポイズニング」の中でも、一番多い手口は上位表示させた自分のページにアクセスしてきた訪問者をリダイレクトという方法を使って別の詐欺サイトにすっと飛ばすというもの。
サイトにアクセスしたら、何もしてないのに知らんうちに違うサイトに飛ばされた経験がある人はいませんか？
そうそう、アレです！
問答無用的なヤツです！
- 訪問者の個人情報を抜きとる
- 遠隔操作して他のサイトを攻撃するための踏み台にする
といった目的で使われることが多いんです。
また、偽のウイルス検知画面を表示させて訪問者の危機感をあおり、仕込まれたスパイウェアや不正プログラムをダウンロードするように促すものもあります。
あの画面の真ん中で派手に点滅する表示を初めて見た時は、ドキッとしたですね。
むかつきますね。
フィッシング詐欺との違い
SEOポイズニングとフィッシング詐欺って似てる感じがするんだけど、ほんのチョットだけ違います。
いままで有名だったフィッシング詐欺は、訪問者を誘い込む時に検索エンジンを利用しません。
フィッシング詐欺のおもな誘導方法は検索結果のページ使うのではなく、おもに電子メールやSNSのメッセンジャー機能を利用します。
具体的には、誘導したいリンク先を貼ったメールやSNSのメッセージを送って、そのリンクをクリックさせて狙ったページに誘い込みます。
このフィッシング詐欺の手法は、登場してから何年も経ってますから、もう古典的な手法になりつつあります。
知っている人もたくさん居て、騙されない人も増えてきました。
だけど、人って検索結果に出てきたページを無条件で信用してしまうところがあるので、そんな油断や隙をついてくるのが「SEOポイズニング」の特徴ですね。
自分でできるSEOポイズニング対策
悪質で巧妙なSEOポイズニングの被害を跳ねのけるには、どうすれば良いでしょうか。
SEOポイズニングを回避するためのポイントをいくつかあげてみます。
①セキュリティ対策をしっかりやる
SEOポイズニングの対策としてはセキュリティ対策をしっかりするということが挙げられます。
というのも、検索結果から最初に表示されるページをノートンだかマカフィーだかのセキュリティソフトが「このページあぶねえぞ！」っつって見破る可能性は低いと思われます。
最初のページから飛ばされた次のページでマルウェアなどの不正プログラムが仕込まれているケースが多いです。
なので、日頃からセキュリティソフトの更新をしっかりやっていれば、詐欺ページに飛ばされてもすぐに検知される可能性が上がります。
②コピーサイトには注意する
悪質なサイトの中には、上位に表示されているページデザインを丸パクリして元のサイトよりも検索上位に表示させて、訪問者をだまして誘い込む手法を使ってくるヤツもいる。
訪問者は、不審なサイト、おかしなサイトでは、命令されても個人情報を入力しないようにしよう。
また、自分でサイトを運営している人は、自分のコピーサイトが作られているケースもあるから、関連キーワードの検索ページに変なページが表示されていないかを確認しておく方をおすすめするぞ！
③不正なページからすぐに立ち去る
あと、不正なサイトに飛ばされたらすぐに立ち去りましょう。
サイトに飛ばされた途端、「ウィルスに感染しました」といった危機感をあおるような表示が出てきても、相手にせず速やかにブラウザを消しましょう。
Get out of here!
Great escape!
SEOポイズニングが使われた世界的な2つの事例
geralt / Pixabay
SEOポイズニングのイメージが沸かないという人もいると思うので、実際に過去に起きた事例を2つ紹介します。
①ショッピングサイトで発生したSEOポイズニング
2015年には北欧デンマーク、スウェーデン、ノルウェーの複数のウェブサイトで不正なショッピングサイトに誘導することを目的にしたSEOポイズニングが発生しました。
この時は、「ベビーカー」や「ベビー用品のブランド名」といった検索ワードがターゲットになりました。
というか、赤ちゃん関係のキーワード狙うってえげつなくないか？
②災害などの寄付金や義援金を狙うケースも
2010年にハイチで大地震が発生した時にもSEOポイズニングが検索結果の上位ページに仕掛けられる被害が出ています。
SEOポイズニングは特定のキーワードに絞って行われます。
この時は「haiti earthquake donation」というキーワードの検索結果上位6ページが不正なサイトでした。
SEOポイズニングはショッピングサイトだけでじゃなく、災害時の寄付金、義援金を狙ってくる場合もありんす。
日本も災害大国と言われ、毎年大きな自然災害が起きてます。
もちろん災害なんて起きない方が良いのですが、もし起きてしまったら心優しい人ならインターネットから寄付をすることもあるでしょう。
その場合は「不審なサイトではないか？」、「運営元はちゃんとしたところか？」などをしっかり確認してからお願いいたします。
まさしく、人の不幸につけこむ火事場泥棒的なやり口には、怒りが込み上げてきます。
SEOポイズニングのその他の手法
geralt / Pixabay
同じSEOポイズニングでも応用型の技を繰り出してくる連中もいます。
パソコンのメモリ上のみで動作するプログラムが現れる
通常、不正プログラムはファイルを実行させることでおこないます。
ですが、2015年にはファイル形式ではなく、検知するのが難しいと言われるパソコンのメモリ上で動作する不正プログラムが発見されています。
次から次へとよく考えますね。
その労力を別のことに使った方がよっぽど有益なのですが。
PDFファイルを利用したSEOポイズニング
通常のホームページの表示形式であるHTMLページではなく、PDFファイルを使用したSEOポイズニングの手法も確認されています。
これは、HTMLで表示されるページよりもPDFなどのドキュメントタイプのページの方に信頼を置いているグーグルの盲点を突いてくる手法です。
まとめ
ご紹介したSEOポイズニングは検索結果で上位表示されているページなら安全だろうと判断してしまう私たちの油断や隙を突いてきます。
年々、手を変え品を変え進化している詐欺サイトの手法ですが、被害に遭わないためにも
- あやしいサイトでは個人情報を入力しない
- あやしいサイトには長居せずにすぐに立ち去る
- セキュリティソフトは常に最新にしておく
といった私たち自ら自衛していく意識が大切ですね。
とはいっても、インターネットでページを見るだけなのに何でここまで警戒しなければならないのか。
ちなみに、デジタルアーツ株式会社のというインターネットセキュリティ企業が調査した結果、悪質なクラッカーが改ざんしたウェブサイトの被害は2019年12月だけでも851件もあったそうです。
うーむ、やれやれだぜ・・・。
関連記事