ある不審なウェブサイトに書かれていた一節の言葉が、詐欺を支えるために作られた「幽霊銀行」の調査へとつながりました。Allure Securityによる新たな調査でこの実態が明らかになりました。
同社のVP of Operationsを務めるMolly DeQuattro氏は、金融サービス業を営む顧客企業のブランドに似せたドメインを調査していました。ところがそのページには、当該顧客のブランド要素は一切なく、代わりにまったく無関係な銀行が表示されていたのです。
彼女の目に留まったのは、「one of the largest digital banking providers(最大手のデジタル銀行サービスの一つ)」という一節でした。この正確な文言を公開ウェブサイトのソースコードで検索したところ、約2,200件の一致するドメインが見つかりました。
「なぜ誰かが、他ブランドに関連付けられたドメイン上に架空の銀行を配置するのか」と研究者たちは記しています。「被害者がそれを自分の既存の銀行と混同することはあり得ません」。この疑問により、ブランドなりすましという線は除外され、調査チームはこれらのアプリケーションが何をするのか、そしてその痕跡がどこへつながるのかを掘り下げていくことになりました。
数百の幽霊銀行が同一の安価なウェブサイトテンプレートを共有
調査チームは2,200件すべてのドメインへの接続を試みました。半数弱にあたる1,095件で実際にページが表示され、そのうち838件には引き続き検索対象の文言が含まれていました。
研究者らによると、この838件中810件、実に97%に、当時1サイトあたり25ドルで販売されていた通貨両替・デジタル銀行サイト向けのフロントエンドテンプレート「Cuex」の一部が残存していました。その上には、ログイン、セッション、登録、口座アクセスを処理するPHPフレームワーク「Laravel」が使われており、これはサイトの94%で確認されました。また、テンプレートに含まれるスペルミスの見出し「Curreny Charts」が、90%のサイトに見られました。
Allure Securityはこのパターンを「正当性の積み上げ(legitimacy stacking)」と呼んでいます。銀行取引用インターフェース、ダッシュボード、投資商品、企業情報、サポート連絡先などが幾重にも重ねられることで、架空の金融機関があたかも信頼できるものであるかのように見せかけられているのです。838件のサイトのうち、770件にはログインページが、767件にはセッションクッキーが設定されており、729件には不正防止トークンが含まれていました。これらはいずれも、ユーザーのデータを受け取り保持するために構築されたアプリケーションの基本要素です。
「これらの発見された幽霊金融サイト群に共通して見られる特徴を総合すると、おなじみの詐欺モデルに合致します。ブローカー、恋愛感情を利用した相手、融資担当者、復旧サービス業者、あるいは配送業者を名乗る人物などが、被害者を見慣れない金融機関に引き合わせるのです。このポータルは、口座残高や投資利益、送金、保留、出金トラブルといったストーリーに、恒常的に使えるインターフェースを与える役割を果たします」と研究者らは指摘しています。
ずさんなコピーが外部とのつながりを露呈
「Classtands Crest」というブランド名を掲げたあるサイトには、研究者たちが自ドメインの外まで追跡できてしまうミスがありました。そのアカウント作成ページは、ソースコード上では依然として「Create an Account- Remedy bank」というタイトルのままになっていました。これは、このサイトがコピー元にしていた何らかのサイトの痕跡が残ったものです。
登録フォームは、入力されたデータを別のドメインであるremedycodes[.]siteへ送信する設定になっていました。研究者らはこのフォームを送信していません。この同じRemedyのアドレスは、別件で詐欺の疑いが指摘されていた他の2つのサイトの連絡先としても、すでに確認されていたものでした。
classtandscrest[.]comの公開登録ページ(出典:Allure Security)
確認すべきポイント
疑わしい幽霊銀行を調査する際には、複数の手がかりを組み合わせて確認することを研究者らは推奨しています。具体的には、「Curreny Charts」というスペルミス、共有されているウェブサイトのパスやコード、一致するクッキーや連絡先情報、そして同一の送信先にデータを送るフォームなどが挙げられます。
加えて、当該金融機関の主張を独自に検証すること、そしてページやタイムスタンプ、ハッシュ値、情報源などの証拠を保全し、調査結果の裏付けとすることも重要だとしています。
「コピーされた一文をきっかけに、大量のサイト群が浮かび上がってくることがあります」と研究者らは結論付けています。「それらのサイト同士がどう関連しているかを理解するには、そのアプリケーションを追跡し、背後にある『正当性の積み上げ』構造をたどっていく必要があります」。
翻訳元: https://www.helpnetsecurity.com/2026/08/21/phantom-bank-websites-fraud-research/
