「怪しいURLに注意しましょう」という対策は、今も重要です。しかし、正規サイトだから安全とは限りません。
プルーフポイントでは、見慣れた正規サービスや実在するWebサイトが、攻撃に悪用されるケースを観測しています。
アクセス先のドメインや画面が一見正規に見えるため、ユーザーが従来の感覚だけで危険性を判断することは難しくなっています。
今回は、正規サイトに不正コードが埋め込まれるケースや、正規サービス上に不正コンテンツが設置されるサポート詐欺の例を取り上げます。
これらの事例をもとに、攻撃者が「信頼」をどのように悪用しているのか、企業はどのように対策を見直すべきかを解説します。
「正規に見える」だけでは安全とは限らない
今回は、正規サービスや正規サイトを悪用する攻撃についてご紹介します。
これまで、フィッシングメールやマルウェア配布サイトを見分ける際には、「URLが怪しくないか」「知らないドメインではないか」といった確認がよく使われてきました。
もちろん、こうした確認は今でも有効な場面があります。しかし、攻撃者も防御側の判断基準を観察しています。プルーフポイントの観測では、見慣れた正規サービスのドメインや、実在する企業・団体の正規サイトが攻撃に利用されるケースが確認されています。
図1. Proofpoint TAPの一観測環境で確認された攻撃手法とマルウェアの上位10件
この観測環境では、「正規サービスの悪用」がもっとも多く、「改ざんされた正規サイト」も攻撃手法の上位に入っています。この手口の厄介な点は、攻撃者が最初から不審なインフラを用意する必要がないことです。正規サービスを悪用すれば、ドメイン自体はよく知られたものになります。改ざんされた正規サイトを使えば、ユーザーにとっては普段から存在するサイトへのアクセスに見えます。
攻撃者の視点で見ると、これは合理的な選択です。自前で不審なドメインやサーバーを用意するよりも、すでに信頼されているサービスやサイトを利用した方が、ユーザーにもセキュリティ製品にも気づかれにくくなる可能性があるためです。防御側にとっては、単にドメイン名だけを見て許可・拒否を判断する運用では限界が出てきます。
改ざんされた正規サイトに潜む不正コード
まず注目したいのが、正規サイトに不正コードが挿入されるケースです。国内でも、正規サイトにErrTrafficと呼ばれる不正コードが埋め込まれる例が確認されています。
この例で興味深いのは、正規のJavaScriptファイルの末尾に不正なコードが追加されていた点です。jQueryのような正規のJavaScriptファイルは、多くのWebサイトで利用されています。そのため、サイト管理者や利用者が一見しただけでは、不正な変更に気づきにくい場合があります。
このような改ざんは、WordPressなどのCMSや、脆弱なサイト管理ツールが狙われることで発生することがあります。ただし、注意すべきなのは、特定のCMSだけの問題として捉えないことです。脆弱性が放置された管理画面、古いプラグイン、適切に管理されていないWeb環境は、攻撃者にとって侵入口になり得ます。
ここで重要なのは、コードの詳細そのものではなく、「正規ファイルの一部として見える場所に不正要素が入り込む」という構造です。防御側としては、正規ファイル名や正規サイトであることだけを根拠に安全と判断しない視点が求められます。
改ざんされた正規サイトが、さまざまな攻撃の入口になる
正規サイトに不正コードが埋め込まれた場合、そのサイトは単に「改ざんされたサイト」になるだけではありません。攻撃者にとっては、ユーザーを不正な画面やマルウェア感染へ誘導する入口になります。ErrTrafficは、その仕組みを理解するうえで分かりやすい例です。正規サイト内のJavaScriptファイルなどに不正コードが追加され、外部に保存された設定情報を参照しながら、ユーザーに表示する画面を切り替えることがあります。こうした仕組みによって、攻撃者は正規サイトへのアクセスを起点に、ClickFixのような画面を表示させることができます。
ClickFixは、ユーザーに対してロボットではないことを認証するように見せかけ、指示に従って操作させることで、最終的にマルウェア実行につなげる手口です。ここで攻撃者が狙っているのは、単なる技術的な脆弱性だけではありません。ユーザーが「表示された手順に従えば問題が解決する」と考えてしまう心理も利用しています。
一方、SocGholishは、改ざんされた正規サイトを起点に、より多様な誘導が行われる例として見ることができます。アクセスのタイミングや条件によって、サポート詐欺、偽ブラウザアップデート、ClickFix、フィッシングサイトなど、異なる誘導先が表示される場合があります。
この二つの例に共通しているのは、攻撃者が正規サイトの信頼性を利用し、その上に不正な誘導の仕組みを重ねている点です。ユーザーから見ると、入口は実在する正規サイトであるため、不審さに気づきにくくなります。防御側としても、後から同じURLを確認した際に、必ずしもユーザーがアクセスしたときと同じ画面が表示されるとは限りません。
そのため、確認時に不審な画面が出なかったとしても、安全とは言い切れない場合があります。アクセス履歴、表示されたコンテンツ、端末ログ、認証ログなどを組み合わせ、ユーザーがどのような誘導を受けた可能性があるのかを確認することが重要です。
正規サービス上に設置されるサポート詐欺コンテンツ
正規サイトの改ざんだけでなく、正規サービス上に不正コンテンツが設置され、攻撃に利用されるケースもあります。たとえば、2026年に入って国内で多く確認されている偽セキュリティ通知メールでは、リンク先でサポート詐欺画面が表示されるケースがあります。ここでも、正規サービスが悪用されている点が重要です。
図2にあるように、この事例では、Microsoft Azureのサービスで利用されるwindows.netドメイン配下に、サポート詐欺コンテンツが設置されていました。windows.netのような正規サービスのドメインは、ドメイン単位のレピュテーションだけでは不審性を判別しにくく、不正コンテンツが見逃される可能性があります。
サポート詐欺では、ユーザーに対して「端末が感染している」「セキュリティ上の問題がある」といった不安を与え、電話や画面操作へ誘導することがあります。従来であれば、不審なドメインや粗雑な画面が判断材料になることもありました。しかし、正規サービス上に不正コンテンツが置かれている場合、ドメイン全体を単純にブロックすることは難しくなります。業務上必要な正規サービスまで止めてしまう可能性があるためです。
この場合、防御側に求められるのは、ドメイン全体ではなく、個別のサブドメイン、URL、コンテンツ、送信メールの文脈、認証状態などを組み合わせて判断することです。メールのDMARC評価や送信元認証の確認も重要ですが、それだけで全てを判断するのではなく、リンク先の実体やユーザーが受ける表示内容まで含めた多層的な確認が必要です。
図2. 正規サービス上に設置されたサポート詐欺コンテンツの例
複数のログをつなぐ、脅威情報活用の考え方
改ざんサイトや正規サービス悪用のような脅威は、単一のセキュリティ機能だけでは検出・判断しきれない場合があります。だからこそ、脅威情報を運用にどう組み込むかが重要になります。
ProofpointからAPI経由で取得した脅威情報を脅威データベースやSIEMに連携し、Proxy、DNS、Firewall、IPS/IDS、EDRなどのログと突合する考え方は、こうした脅威への備えとして有効です。これは、単に検知製品を増やすという話ではありません。複数のログやアラートをつなぎ合わせ、インシデントが発生していないか、どのユーザーが影響を受けた可能性があるかを調査できる状態にすることが重要です。
たとえば、メールで受信したURL、Proxyで実際にアクセスされたURL、DNSクエリ、EDRで確認されたプロセス挙動を横断的に見ることで、単独では見えにくかった攻撃の痕跡が見えることがあります。攻撃者が正規サービスを利用する以上、防御側も「正規か不正か」を1か所で判定するのではなく、複数の情報を組み合わせて判断する必要があります。
図3. 脅威情報をSIEM/XDR連携で活用する運用イメージ
企業が見直すべき三つの対策ポイント
- ドメイン単位の許可・拒否だけに依存しない
正規サービスや正規サイトが悪用される状況では、ユーザーに「URLをよく見てください」と伝えるだけでは不十分です。もちろん、ユーザー教育は必要です。しかし、攻撃者はユーザーが見慣れたドメインや正規画面を利用することで、その判断を揺さぶってきます。
正規サービスであっても、その上に置かれたコンテンツやサブドメイン、誘導先が悪用される可能性があります。ドメインが正規であることは、必ずしもそのURLやコンテンツが安全であることを意味しません。 - メール、Web、ID、エンドポイントの情報を横断的に確認する
不審なメールやリンクに接触したユーザーが、実際にどのURLへアクセスし、端末上でどのような挙動が発生したのかを追える状態にしておくことが重要です。メール、Webアクセス、端末の情報を個別に見るだけでは、全体像を把握しにくいことがあります。 - 自社Webサイトのセキュリティを見直す
古いCMS、放置されたプラグイン、不要な管理画面、弱い認証は、攻撃者にとって改ざんの足がかりになります。自社サイトが改ざんされれば、被害者になるだけでなく、他者への攻撃の踏み台にされる可能性もあります。
攻撃者は、気づかれにくい手法を継続的に変化させています。そのため、防御側も脅威情報やログを活用しながら、解析・監視の運用を柔軟に見直していく必要があります。
まとめ：信頼されるものが悪用される前提で備える
正規サービスや正規サイトは、本来、業務や情報発信に欠かせないものです。だからこそ、攻撃者にとっても悪用する価値があります。正規ドメインや正規サイトという要素は、ユーザーに安心感を与える一方で、防御側の判断を難しくします。
今回取り上げた改ざんサイト、ErrTraffic、SocGholish、サポート詐欺の例に共通しているのは、攻撃者が「信頼されているもの」を利用している点です。これは単なる技術的な新しさではなく、防御側の運用やユーザー判断の隙間を突く設計だと言えます。
企業に求められるのは、ユーザーの注意喚起だけに依存しない多層的な対策です。メール、Web、ID、エンドポイント、脅威情報を組み合わせ、正規に見えるものの中に潜むリスクを継続的に把握し、対応につなげられる運用を整えることが重要です。
無料リスクアセスメントのご案内
こうした攻撃に備えるには、個々の脅威だけでなく、攻撃の対象となるユーザーを中心にリスクを捉える視点も重要です。
無料のリスクアセスメントで、貴社を襲う攻撃を可視化し、誰がどのように攻撃されているのかの洞察を深めることができます。ぜひ無料のアセスメントをご活用ください。
- ●関連リンク
- 内田浩一の侍ハッキング #1 フィッシング最新手法 - Basic認証と文字コードを悪用したHTMLの難読化
- 内田浩一の侍ハッキング #2 フィッシング最新手法 - 難読化したHTMLを添付してメールフィルタを回避する
- 内田浩一の侍ハッキング #3 CAPTCHAを悪用したマルウェアメール、SVGファイルを悪用したフィッシングメールを確認
- 内田浩一の侍ハッキング #4 巧妙化するリモートツール悪用型サイバー攻撃の脅威と対策
内田 浩一
プリンシパル セキュリティ アドバイザー
ペネトレーションテストやマルウェア解析、スレットインテリジェンスを得意とするテクニカルコンサルタント。マカフィー(株)においては、プリンシパルコンサルタントとしてSOCの立ち上げや、マルウェア解析、インシデントレスポンス等の業務に従事し、制御システム、IoTデバイス等の新規分野に対するハッキングの調査研究も担当。アビラ(合)では、アジアにおける多くのセキュリティベンダーに対してアンチウィルスエンジンの提供とセキュリティ製品開発を支援し、エンドポイントからクラウドまで幅広い製品企画と開発支援の実績を有する。 現在、日本プルーフポイント(株)では、シニアセキュリティコンサルタントとしてメールを中心としたセキュリティ対策強化やインテリジェンスの活用を担当する。