「カメレオンSEOポイズニング」と名付けられたフィッシング手法が、Fortraによって発見されました。この手法は、検索結果を操作し、偽装した銀行の偽サイトを使って認証情報を盗み取りながら、セキュリティスキャナーの検知を回避します。
同社の脅威インテリジェンス部門であるFortra Intelligence and Research Experts(FIRE)は、3カ月にわたりこの手口を追跡し、2026年第2四半期には事例が40%急増したと報告しています。
攻撃者は、GoogleやBingで「Bank Name Customer Portal」や「Credit Card Login」といった検索意図の強いキーワードでこれらのページを上位表示させ、標準的なSEOポイズニング手法を使って正規サイトより上に押し上げています。
「ここで一般的な誤解を解いておくことが重要です。これらは本質的に侵害されたドメインではありません。むしろ、.ph.comや.gr.comといったセカンドレベルドメイン(SLD)で最近登録されたタイポスクワット(綴り違いドメイン)なのです」と研究者らは述べています。
この手口の危険性は、研究者が「プレゼンテーション制御」と呼ぶもの、つまり訪問者がどのようにアクセスしたかに応じて、サーバーが表示内容を判断する能力にあります。アクセス元によって異なるコンテンツを提供することで、標準的なセキュリティスキャンによる脅威の検知を回避し、汚染された検索結果を数日から数週間にわたって有効な状態に保つことができると、Fortraは指摘しています。
研究者らは、あるタイポスクワットドメインを2つの異なる条件下で表示させ、この効果を直接実証しました。検索エンジンのリファラーを付けずに手入力でアクセスした場合、そのドメインは死んだような、オフラインに見えるページを表示しました。
一方、汚染された検索結果からクリックして遷移した場合、同じドメインは即座に説得力のある偽の銀行ログインページへと切り替わりました。
実践的な推奨事項
Fortraの推奨事項は、役割ごとに次のように分かれています。
セキュリティチームは、リファラーの偽装やブラウザエミュレーションを、報告されたURLを検証する際の標準手順として扱うべきです。直接アクセスだけでは、もはや信頼できる情報は得られないためです。
ホスティングプロバイダーおよびレジストラには、.ph.comや.gr.comのようなSLDに対する審査を迅速化し、リファラー起因の証拠をテイクダウンの根拠として受け入れることが推奨されます。
CISOは、検索順位を攻撃対象領域の一つとして注視し、自社が保有していないドメインに突然結びつくブランドキーワードにフラグを立てるべきです。
オンラインバンキングを利用するすべての人は、検索バーから銀行のログインページを探すのではなく、ブックマークを利用するか、銀行の公式アプリを使う方が安全です。
翻訳元: https://www.helpnetsecurity.com/2026/08/24/chameleon-seo-poisoning-fake-banking-websites-phishing/
