ある大学のWebサイトがハッキングされ、検索結果にアダルトコンテンツが表示されるようになりました。恥ずかしくはあるものの、単発の出来事のように思えます。しかしUpGuardの調査によると、こうした事例はもっと大きく、しかも拡大しつつある問題の一端かもしれません。攻撃者は脆弱なWebサイトや正規組織のデジタル上の足跡を悪用しており、被害組織は評判の毀損をはじめ、さまざまなリスクにさらされます。
Dark ReadingのアソシエイトエディターであるKristina Beekのインタビューに、UpGuardのリサーチ・インサイト担当ディレクターであるGreg Pollock氏が応じました。同氏は、検索エンジンスパムの調査を進めるうちに、思いがけない脅威インテリジェンスの情報源にたどり着いた経緯を説明しています。それは、OnlyFansなどのアダルトコンテンツクリエイターが申し立てた著作権侵害の削除要請でした。この要請は、クリエイター自身や、海賊版コンテンツを追跡するブランド保護サービスが提出したものです。正規のWebサイトが侵害され、無断コンテンツの配布に悪用されていることを示す手がかりになり得ます。
Pollock氏によると、このデータはリアルタイムの検知ツールではありません。ただし、ベンダーやサードパーティーで起きた侵害の可能性を調べるセキュリティチームにとって、価値ある過去の記録になるといいます。同氏はさらに、大学や政府機関が特に狙われやすい理由、こうした攻撃が評判の毀損以外にもたらすリスク、攻撃者に狙われる前に脆弱性を見つけるために組織ができることも語っています。
Dark Readingのニュース動画はすべて、YouTubeチャンネルと、厳選した動画記事でご覧いただけます。
Kristina Beek氏とGreg Pollock氏:インタビュー全文
この書き起こしは、Informa TechTargetの社内AIアシスタントが、読みやすさと長さを考慮して編集しました。全容は動画でご覧ください。
Dark ReadingのKristina Beek氏: みなさん、こんにちは。Dark Readingでアソシエイトエディターを務めるKristina Beekです。本日はGreg Pollockさんをお迎えしています。Gregさん、ご出演ありがとうございます。今日は、ご自身の研究についてお話しいただきます。OnlyFansに関する研究ですが、皆さんが想像するような内容ではないところが、なかなか興味深い点です。まず自己紹介をお願いできますか。そのあと研究の中身に入っていきましょう。
Greg Pollock氏: ありがとう、Kristina。UpGuardでリサーチ・インサイト担当ディレクターを務めているGreg Pollockです。この研究を紹介するときは、いつも「OnlyFansの話ですが、著作権法の話ではありません」と前置きしています。実際には著作権法とDMCA（デジタルミレニアム著作権法）が深く関わっているのですが、そう言うと面白そうには聞こえませんから。
DRのKristina Beek氏: そうでしょうね。では、この研究の主な発見と、調査を始めたきっかけや関心を持った理由を教えていただけますか。
Greg Pollock氏: きっかけから話すのが一番わかりやすいと思います。ややこしい話になりますが、避けては通れません。出発点はSEOポルノスパムです。これは昔からある問題で、セキュリティの実務者なら仕事の中で遭遇したことがあるでしょう。攻撃者は、何らかの方法で改ざんできるWebサイトを見つけ、検索エンジンの結果に自分たちが仕込んだコンテンツが表示されるよう操作します。その内容はアダルトコンテンツであることが非常に多いのです。インターネット上でアダルトコンテンツは絶大な人気がありますから。
私の場合、侵害の痕跡がほかにも見つかったWebサイトを調べたのが始まりでした。その過程でGoogleを検索すると、そのサイトにはポルノスパムが大量に出てきました。ここまでは、よくある話です。ところが、Googleの検索結果ページの下部に、DMCAに基づく通知により一部の結果が削除されたという表示がありました。これは私にとって初めて見るものでした。そこから調べていくと、ある正当な政府機関のWebサイトが、アダルト出演者の名前を宣伝や使用に利用していたとして、DMCA違反で報告されていたことがわかりました。これは実に奇妙です。同じ申し立ての中にあった他のサイトは、すべてポルノのリークサイトだったのですから。
では、なぜこの政府機関のサイトが、他のサイトを取り締まるDMCA削除要請と同じ仕組みに引っかかったのでしょうか。調べを進めると、次のような流れが見えてきました。政府機関のサイトなど正規のWebサイトが改ざんされ、検索結果にアダルトコンテンツが挿入されます。すると、そのコンテンツの権利者であるアダルトコンテンツクリエイターが、ブランド保護ソフトウェアで発見し、Googleに報告します。こうして積み重なった結果、アダルトコンテンツクリエイターの著作権を守るために、Googleには数百万件ものDMCA通知が送られています。その中を調べれば、正規のWebサイトが改ざんされ、意図せずこのコンテンツを配布していた事例が見つかります。ここまで、おわかりいただけたでしょうか。何段階かの仕組みになっています。
DRのKristina Beek氏: はい。つまりこの仕組みの最終段階では、OnlyFansのコンテンツクリエイターが著作権の問題に気づき、Googleに報告するわけですね。結果として、攻撃者の成功を阻止していることになるのでしょう。
Greg Pollock氏: その通りです。GoogleはGoogleの透明性レポートを公開しており、法律の執行に向けてコンテンツにどう対処しているかなど、多くの情報を共有しています。その中で、これまでに受けた著作権関連の削除要請は約180億件にのぼると公表しています。大半は通常のメディア海賊版に関するものです。ただ、削除要請の件数で歴代3位に入るのは、大手ポルノブランドの1つです。アダルトコンテンツの海賊版は巨大な問題で、それがGoogleの著作権関連のデータに現れてくるのです。興味深いのは、近年アダルト業界の構造が変わったことです。Pornhubのような垂直統合型の大手スタジオ中心から、数百万人規模の個人クリエイターへと移りました。彼らはそれを仕事にしていて、作品に対する対価を得なければなりません。そのため全員が、自分のコンテンツを海賊版にしている人物を探しています。インターネットを巡回する専用ツールも使っています。たとえば私が自分のコンテンツを公開しているとします。私が探すのはGreg Pollockのコンテンツです。それをあるWebサイトで見つければ、ブランド保護ツールが報告します。その結果がDMCA削除要請として積み上がり、Googleが公開してくれるので、私たちが読めるのです。
DRのKristina Beek氏: とても興味深いですね。コンテンツクリエイターは、自分のコンテンツがどこにあり、どこで報告され、著作権がどうなっているかを徹底的に把握しているわけです。いわば脅威検知の仕組みとして機能している。こうしたシグナルは、一般的なセキュリティチームにとってどのくらい価値があるのでしょうか。
Greg Pollock氏: 面白いところです。コンテンツクリエイターのブランド保護ソフトウェアは、自分たちの名前や肖像をインターネット上でリアルタイムに探し回り、削除させることで、コンテンツを奪われる損失を防いでいます。ただ、私たちがGoogleから入手する時点では、速報性のある手段とは言えません。ブランド保護ソフトウェアが見つけて報告し、Googleが所定の手続きを経て、ようやく透明性レポートで共有されます。ですから、自社のWebサイトを素早く監視する方法ではありません。優れているのは網羅性です。ベンダーが多数あり、侵害されていないか確認したいとき、取引のあるベンダーやサードパーティーすべてについて過去の記録を横断的に調べられます。網羅性の高い検知手段になります。もう1つの利点は、記録が永久に残ることです。Webサイトが侵害されても、誰かが修正し、Googleがキャッシュを消してしまえば、過去に何が起きたかは、その時点で監視していた人でなければわかりません。その点、これは2011年までさかのぼるアーカイブです。膨大な数の企業を横断して調べたいとき、あるいは新たに取引を始める企業の過去の記録を確認したいときに、そこに出てきたことがあるかを調べられます。セキュリティ実務者にとって大切なのは、これはWebサイトの侵害を監視する手段ではないという点です。そのためには、もっと優れていて、もっと速い方法があります。一方で、これは自力では非常に難しいことを実現してくれます。多数の企業を監視するのも、大規模な過去データを集めるのも、とても大変です。そこに有用性があります。
DRのKristina Beek氏: こうした状況では、特に政府機関や大学など、公的な性格の強いWebサイトが狙われているのでしょうか。
Greg Pollock氏: はい。2つの性質があるため、こうしたサイトは目立ちやすくなります。私が例に挙げるのは、よく出てくるからという理由もありますが、トップレベルドメインで簡単に見分けられるからでもあります。.eduなどのドメインなら、政府機関や教育機関のサイトは容易に分類できます。そして狙われやすい理由は2つあります。1つ目は、価値が高いことです。Googleはこれらを高ドメイン、高権威のドメインとみなしており、検索結果で優先的に表示するからです。
誰も訪れないような私の小さなWebサイトが侵害されても、検索結果に表示されることはまずありません。しかし.eduや.govのドメインに足がかりを得られれば、Googleはそれらを信頼し、上位に表示します。攻撃者の視点では、検索エンジンの改ざんにうってつけの標的です。2つ目は、価値が高いだけでなく、脆弱でもあることです。こうした機関は、デジタル上の足跡が非常に大きい傾向があります。予算も限られ、一度立ち上げたものがそのまま長く残り続けます。特に大学は難しい課題を抱えています。デジタル資産を使う人が非常に多いからです。学生サークルのサイトもあれば、情報工学専攻の学生たちの取り組みもあり、教授陣の研究プロジェクトもあります。足跡が巨大なので、忘れ去られたり、保守されないまま放置されたりしやすく、最終的に何らかの形で侵害されてしまうのです。
DRのKristina Beek氏: 大学のWebサイトの運営者やセキュリティ担当者には、どんな助言をされますか。セキュリティ対策が不十分だったり、デジタル上の足跡が大きかったりすることが根本にあります。どう解決すればよいのでしょうか。ポルノ関連のコンテンツが自分たちのサイトに載っているというのは、どう受け止めるかは人それぞれにせよ、印象がよくないでしょう。しかも、それは偶発的なものです。彼らの落ち度ではなく、攻撃者の仕業なのですから。彼らに何と伝えますか。
Greg Pollock氏: まず、被害はおっしゃる通り、幅広いと言えます。軽いものでは、単なるブランドの評判の問題があります。たとえばWebサイトに「Gregの足のモデル撮影はこちら」と表示されたら、恥ずかしいかもしれませんが、個人情報（PII）の流出のような深刻な損害にはなりません。
ただ、検索結果にそうした表示が出る原因には幅があります。単に恥ずかしいだけの些細な原因から、攻撃者がそのサイトにコンテンツを書き込める状態にあるケースまであるのです。その場合、悪意のあるJavaScriptを設置することも、データの窃取やユーザーの侵害につながる、もっと危険なことを行うこともできます。したがって、目の前の症状について、なぜそれが起きているのかを突き詰めなければ、本当の被害はわかりません。ご質問の、防御側へのメッセージについてお答えします。
私がお話ししているのは、セキュリティ実務者ならご存じのことです。基本とまでは言いませんが、CMSを更新する、クロスサイトスクリプティングをチェックする、オープンリダイレクトを作らないといった、Webセキュリティの基本です。どれもよく知られた問題です。難しいのは、新しいサイトに適用するだけでなく、大学や政府機関の例で申し上げたように、これまでに誰かが公開してきたあらゆるものを含む過去の資産全体を監視する時間とリソースを確保することです。今回の注目を受けて私が伝えようとしているのは、セキュリティチームが、知らない新しいことを始める必要があるわけではないということです。管理者や、チームに予算を配分する人たちに、攻撃が現在進行形で続いていること、脅威が活発な環境にあることを認識してもらい、チームにもっと投資してもらう必要があるのです。
DRのKristina Beek氏: その通りですね。今回の発見で、特に驚いたことや懸念を覚えたことはありますか。
Greg Pollock氏: 最も驚いたのは、この傾向が始まったのがごく最近で、しかも加速していることです。時期について言えば、私は一連の手順を踏んで改ざんされたWebサイトを探しました。アダルトコンテンツクリエイターから送られたDMCA削除要請を起点に、その中から政府機関のサイトを探したのです。こうしたクリエイターからの要請件数は、2024年から2025年にかけて、ゼロから数百万件に跳ね上がっています。背景には、OnlyFansの急成長があります。ほかにも似たプラットフォームはありますが、中心はOnlyFansです。急成長が始まったのは2020年ごろです。その数年後には、クリエイターが非常に多くなり、巨額の金銭も動くようになったので、専門のブランド保護プラットフォームが登場しました。そして、それらは非常に高い精度で機能するようになりました。つまり、私がここでやったように、こうした要請を使って該当するWebサイトを見つけられるようになったのは、ここ数年のことなのです。同時に、認知バイアスや確証バイアスを取り除いて絞り込んでも、ユニークなドメインの数は劇的に増えています。ですから、最大の驚きは、これが私がたまたま変わった方法で観察した定常的な問題ではなく、拡大している問題だということです。対処しなければ、特に大学のWebサイトが、このような形で改ざんされる可能性は高まっていきます。
DRのKristina Beek氏: なるほど。大学に対する助言については伺いました。セキュリティチームというより、資金面を決める理事会などに向けたものでしたね。では、この研究を読むセキュリティ専門家に向けて、1つだけ持ち帰ってほしいことは何でしょうか。
Greg Pollock氏: 1つ挙げるなら、自社の検索エンジン結果を確認する方法があるということです。特にAIやAIツールを使えば、ごく簡単な日次チェックを設定できます。自社のWebサイトをいくつかのアダルト系キーワードでGoogle検索するだけで、被害が出ているかどうかを見つけるのに有効です。やる価値はあると思います。結果を挿入してWebサイトを改ざんする仕組みは高度に自動化され、水平に大規模展開されていて、インターネットを巡回し、手当たり次第にばらまいているからです。改ざんが些細で問題にならないケースでも起きますし、影響が些細で恥ずかしい程度で済むこともあります。しかし、同じ手口がより脆弱なWebサイトに当たれば、そこで攻撃者は価値を引き出します。数撃ちゃ当たる式の攻撃なので、何らかの脆弱性を抱えたサイトはかなりの確率で狙われます。ですから、検索エンジンの結果を監視する仕組みを持つことは、低コストで効果の高い早期警戒の手段になると思います。
DRのKristina Beek氏: まさにそうですね。インタビューも終わりに近づきました。Gregさんはほかにもさまざまな研究に取り組まれていますよね。現在進めていることで、特にご紹介いただけるものはありますか。
Greg Pollock氏: はい。最近のプロジェクトの1つは、シャドーAIと、設定ミスのあるデータベースやAIアプリケーションに関するものです。これは、ここ2年ほどの間に他の研究者が行ってきた研究を土台にしています。2025年初めごろ、Lovableで作られたアプリの多くが、裏側のデータベースにSupabaseを使っていることが、ある研究者によって発見されました。しかも、多くの場合、適切なセキュリティ設定がされておらず、データベースが公開状態で読み取れてしまうのです。その後の2年間で、そうしたデータベースが誤設定される別のパターンも見つかっています。私たちは最近、Supabaseデータベースの大規模な調査を実施しました。バイブコーディングやその他のコーディングエージェントで特に好まれているデータベースだからです。正直に言うと、私もSupabaseを使ったことがあります。非常に便利で、優れた製品です。ただ、使う人の多くはデータベースの設定方法を理解していません。出荷されるコードを見ることすらないバイブコーダーたちです。そこで最近は、バイブコーディングから生じる問題、つまりデータベースを確認しないという問題について、調査をしました。データベースはきちんと確認すべきです。
DRのKristina Beek氏: なるほど。視聴者や読者は、Gregさんの研究をどこで見られますか。
Greg Pollock氏: もうすぐ、新しい取り組みを始める予定です。現時点では、UpGuard.comとUpGuard.com/breachesが、データ漏えい研究を始めたおよそ10年前に立ち上げたブログです。約1か月半後に、さらに充実した内容の新しい研究ブログを発表する予定です。
DRのKristina Beek氏: すばらしいですね。楽しみです。本日はお時間をいただき、ありがとうございました。とても興味深いお話でした。
Greg Pollock氏: こちらこそ、Kristina、ありがとう。楽しかったです。
