サイバー犯罪者たちはすでに2026 FIFAワールドカップを詐欺の好機と捉え、フィッシングページや偽オンラインショップ、チケット詐欺を駆使して金銭や個人データを盗み取ろうとしています。
大会にはグローバルな巨大需要が集まり、サイトの真偽を確かめないまま素早く購入するファンも多いため、リスクは一層高まっています。
ある攻撃キャンペーンでは、33件の詐欺ドメインが約2,500件のオンライン広告に紐付けられており、攻撃者が広告出稿とマーチャントアカウントの使い回しによって詐欺行為を大規模に展開していることがうかがえます。
一部の詐欺は検索エンジンの操作にも依存しており、偽のページが本物のサイトと並んで表示されることで、チケットやグッズを探しているユーザーを誘い込もうとしています。
セキュリティ研究者たちは、FIFAのブランドを模倣した偽ストアでファンを引き寄せるワールドカップテーマの購入詐欺を確認しています。フィッシングも深刻な脅威であり、犯罪者はFIA風の偽ログインページを作成して認証情報の窃取を試みています。
研究者たちはさらに、「World」と「Cup」を含む1,100件以上の不審ドメイン、「fifa.com」を利用したタイポスクワッティングドメイン600件以上、そして開催都市名に関連する数百件のドメインを追跡しています。
開催国のセキュリティ環境を複雑にする要因としては、メキシコにおけるTCO（組織犯罪グループ）の活動、米国の建国250周年記念行事、そして夏の予備選挙を含む2026年11月の米国中間選挙に向けた動きなどが挙げられます。
こうした模倣ドメインは、素早くURLを入力したり、SNSの投稿・広告・メッセージから不用意にクリックしたりした被害者を罠にかけることを目的としています。
チケット詐欺の手口
チケット詐欺は犯罪者にとって特に魅力的です。ファンが焦って購入しようとする心理につけ込めるからです。詐欺師たちは盗んだ支払いカード、偽のチェックアウトページ、または転売スキームを駆使して、被害者が損失に気づく前に素早く現金化します。
一部の脅威アクターは、Ticketmaster、StubHub、SeatGeek、Vivid Seatsなどの主要チケットプラットフォームに対する現金化サービスを宣伝してもいます。
Payment Fraud Intelligenceは、2,500件のオンライン広告に紐付けられた33件のワールドカップテーマの購入詐欺ドメインのネットワークを特定しました。
旅行・宿泊に関する詐欺も同様のパターンの一部です。偽のホテル取引、架空の航空券オファー、実体のないパッケージツアーを通じてカード情報やアカウントのログイン情報、個人情報を収集し、そのデータを転売したりさらなる詐欺に利用したりすることができます。ワールドカップのような大規模イベントでは、緊迫感と高いアクセス量がこうした詐欺を見破りにくくします。
ワールドカップは犯罪者に格好の隠れ蓑を提供します。ファンがプロモーション、最新情報、直前の変更を当然のこととして期待しているからです。攻撃者はイベントへの高揚感、偽の緊急性、そしてフィッシングメッセージを洗練された説得力あるものに見せるAI生成コンテンツの陰に潜むことができます。
同レポートはまた、大会が近づくにつれて金融詐欺がソーシャルエンジニアリング、アカウント乗っ取り、さらにはデータ恐喝と組み合わさる可能性があると警告しています。
危険はファンだけに及ぶものではありません。スポンサー、ベンダー、旅行会社、サッカー組織も標的となりえます。これらの組織は貴重な支払いデータ、本人確認記録、物流システムへのアクセス権を保持しているためです。これにより、大会は単純なチケット問題にとどまらない、広範な詐欺エコシステムと化しています。
ファンはチケットをFIFA公式および認定ベンダーのチャンネルからのみ購入し、「うますぎる話」の割引は警告サインとして受け止めてください。
Webアドレスは手入力し、広告リンクを避け、カード情報を入力する前にドメイン名のスペルミスを確認するほうが安全です。また、強力なパスワードや多要素認証、オンライン購入専用の支払い方法を活用することも重要です。
組織は大会に関連するフィッシングドメイン、ブランド悪用、悪意のある広告、偽のマーチャント活動を継続的に監視する必要があります。
同レポートは、新規登録されたFIFAまたは開催都市テーマのドメイン、詐欺的なチェックアウトページ、サイバー犯罪フォーラムで売買される侵害済み認証情報の監視を推奨しています。早期検出こそが、イベント主導型の詐欺に対する最善の防御策です。
翻訳元: https://gbhackers.com/hackers-exploit-2026-fifa-world-cup/
