脅威アクターがGoogleやBingをフィッシング配信のチャネルとして悪用するケースが増えています。セキュリティスキャナーには無害なページを見せかけ、実際の検索利用者には認証情報を窃取する銀行ポータルの偽サイトを表示するクローキング技術を使う手口です。
セキュリティ製品・サービス
このキャンペーンは大手金融機関の利用者を標的とし、検索エンジン最適化（SEO）の悪用、最近登録されたなりすましドメイン、リファラーを識別したペイロード配信を組み合わせることで、フィッシングページの寿命を延ばしています。
メールやSMSで悪意あるリンクを送りつける従来型のフィッシングとは異なり、Chameleonキャンペーンはプル型のモデルを採用しています。
攻撃者は検索エンジンの検索結果ページを操作し、「〇〇銀行 カスタマーポータル」「クレジットカード ログイン」といった、利用意図の高い検索クエリに対して不正サイトが上位表示されるよう仕向けます。
そのため、金融サービスを検索したユーザーは、正規の銀行ページよりも上位、あるいはそれに近い位置に表示された悪意ある検索結果に遭遇する可能性があります。
攻撃者が管理するドメインは、.ph.comや.gr.comといったドメイン配下のバリエーションを含む、最近登録されたセカンドレベルドメイン構造上でホストされるタイポスクワッティング（似た文字列を使ったなりすまし）であることが多く、必ずしも侵害された正規サイトとは限りません。
この手口により、検索結果での可視性そのものが初期アクセスのベクトルと化します。使い慣れた検索エンジンへのユーザーの信頼と、アカウントにアクセスしたいという切迫感が、攻撃者に代わってソーシャルエンジニアリングの大部分を担ってくれるわけです。
Fortra Intelligence and Research Experts（FIRE）の報告によると、「Chameleon SEO Poisoning」の活動は2026年第2四半期に40%以上増加したとのことです。
Google・Bing検索結果の悪用
Chameleon SEO Poisoningの特徴は、表示内容を制御する点にあります。同一のURLであっても、訪問者のアクセス経路によって異なるコンテンツが返される仕組みです。
調査担当者やホスティングプロバイダー、レピュテーションサービス、自動化されたサンドボックスが不審なドメインに直接アクセスした場合、サーバーはオフラインページや一般的なエラー、偽の404レスポンスを返すことがあります。
これにより、ドメインは無害に見えてしまい、アナリストがアラートを誤って誤検知と判断してしまう恐れがあります。
しかし、リクエストにGoogleやBingからのクリックであることを示すリファラー情報が含まれている場合、サイトは本来のペイロードを配信します。多くの場合、それは認証情報やセッションクッキー、その他の認証情報を窃取するために作り込まれた、精巧な銀行ログインポータルの偽サイトです。
FIREは、こうしたキャンペーンが認証情報の窃取やセッションハイジャックを引き起こす一方で、従来型のフィッシングインフラよりも長期間にわたって活動を継続できると警告しています。
この手口は、被害者の行動経路に応じてフィッシングページの表示を実質的に条件付けているといえます。汚染された検索結果が「餌」として機能し、直接訪問時の表示は「仮面」として機能する構図です。
大半のドメインレピュテーションシステムや自動URLスキャナーは、直接リクエストによってサイトを評価します。しかし、このモデルはリクエスト元を先に見極めるようなキャンペーンには適していません。
デフォルトのスクリプト用ユーザーエージェントやデータセンターのIPアドレス、あるいは検索エンジンからのリファラーなしでアクセスするスキャナーは、無害なバージョンのページを受け取ってしまう可能性があります。
その結果、検索結果経由でアクセスした銀行利用者が実際に稼働中の認証情報窃取ポータルにさらされている間も、悪意あるドメインは中立的なレピュテーションスコアを維持し続けることになります。
Fortraは、SOCチームに対し、静的スキャンにとどまらず被害者側の条件を再現するよう推奨しています。
調査においては、関連する検索エンジンのリファラーや現行の一般消費者向けブラウザのユーザーエージェント、さらに法的・運用上適切な範囲で、標的となる金融機関の顧客層に合わせた地理的プロファイルもテストすべきだとしています。
CISOにとっては、これはブランド保護戦略を、事後対応型のテイクダウンから、ブランド名・ログイン・サポート関連キーワードに関する検索結果の継続的な監視へとシフトさせることを意味します。
特に新規登録されたなりすましドメインを使用する異常な上位表示結果は、優先度の高い不正行為のシグナルとして扱うべきです。
FIREは以前にも、SEOポイズニングサービスがバックリンク操作や侵害済みサイトを利用して不正な金融関連ページの表示順位を引き上げる手口を報告しており、このエコシステムの規模と商業的な成熟度を浮き彫りにしています。
SOCのプレイブックにおいても、不審なURLの案件を「直接アクセスするとオフラインページが返される」という理由だけで終結させることを禁じるべきです。
アナリストには、リファラー、ユーザーエージェント、リダイレクトチェーン、レンダリングされたコンテンツ、地理的な応答挙動を記録する、文脈を考慮した証拠収集が求められます。
一般利用者にとって最も安全な方法は、依然として検索エンジン経由で銀行ポータルにアクセスしないことです。公式の銀行アプリや手動で保存したブックマークを利用し、認証情報を入力する前にドメイン全体を確認し、ログインページに違和感があれば検証済みの窓口を通じて金融機関に問い合わせるようにしてください。
★ 削減すべきセキュリティツールはどれか？1枚のシートでスコア化 – 「継承されたセキュリティスタック」ガイドをダウンロード
翻訳元: https://gbhackers.com/google-and-bing-search-results/
