カメレオン型SEOポイズニング：検索上位に潜む偽の金融機関サイト

Fortraのリサーチャーによると、クローキングを悪用したSEOポイズニング攻撃が、2026年第2四半期に40%増加したことが確認されています。「カメレオン型SEOポイズニング（Chameleon SEO poisoning）」とも呼ばれるこの手口は、検索エンジンのクローラーとユーザーに異なるコンテンツを見せるクローキングを用い、検索結果を経由してフィッシングサイトへ誘導します。

Fortraのリサーチャーによると、クローキングを悪用したSEOポイズニング攻撃が、2026年第2四半期に40%増加したことが確認されています。「カメレオン型SEOポイズニング（Chameleon SEO poisoning）」とも呼ばれるこの手口は、検索エンジンのクローラーとユーザーに異なるコンテンツを見せるクローキングを用い、検索結果を経由してフィッシングサイトへ誘導します。

Fortraは次のように述べています。「FIREはこの3か月間、クローキングを用いたSEOポイズニング攻撃を継続的に監視し、対処を進めてきました。その結果、複数の大手金融機関とその利用者が標的とされていることが確認されています。すぐに検知される従来型のフィッシングキャンペーンとは異なり、この『カメレオン型』の攻撃は、一般的な自動スキャナーをすり抜けながら、GoogleやBingの検索結果の最上位に表示されるよう設計されています。攻撃者は、模倣している正規のページよりも上位に表示させるため、SEOポイズニングに時間と資源を投じています。また、テイクダウンを長く回避できればできるほど、フィッシングの目的を達成できる確率が高まります。」

この手口の最大の特徴は、メールでリンクを受け取るのではなく、ユーザー自身が検索してフィッシングサイトにたどり着く点にあります。信頼している検索エンジンの検索結果からアクセスした場合、ユーザーが不審に思う可能性は低くなります。

Fortraは次のように説明しています。「攻撃者は検索結果ページ（SERP）上でSEOポイズニングを多用し、『銀行名＋顧客ポータル』や『クレジットカード ログイン』といった、目的が明確なキーワードでGoogleやBingの上位に表示させます。これらは、もともと侵害されたドメインではなく、.ph.comや.gr.comなどのセカンドレベルドメイン（SLD）を利用して最近登録された、タイポスクワッティングのドメインです。」

リサーチャーは、銀行などのサービスを利用する際には、検索して上位の結果をクリックするのではなく、公式のモバイルアプリ、または自分でブックマークしたURLからアクセスするよう呼びかけています。

KnowBe4は、従業員一人ひとりが日々の業務において、より的確なセキュリティ判断を下せるよう支援します。現在、世界で7万社を超える組織がKnowBe4のHRM+プラットフォームを信頼し、セキュリティ文化の醸成とヒューマンリスクの低減を実現しています。

詳細については、Fortraの記事をご参照ください。