SEOポイズニングとは？検索上位を悪用する攻撃【SG試験】

まず結論

SEOポイズニングとは、検索エンジンの順位付けの仕組みを悪用し、悪意のあるWebサイトを検索結果の上位に表示させる攻撃です。

SG試験では、単に「検索結果に出る攻撃」と覚えるよりも、利用者を悪意のあるサイトへ誘導する攻撃かどうかで判断するのが大切です。

選択肢では、次のような説明が出たらSEOポイズニングを疑います。

キーワード検索の結果で、悪意のあるサイトを上位に表示させる

これはSEOポイズニングの典型的な説明です。

直感的な説明

SEOは本来、Webサイトを検索結果で見つけてもらいやすくするための工夫です。

たとえば、会社の公式サイトやブログ記事を多くの人に見つけてもらうために、ページの内容やタイトルを分かりやすく整えることがあります。

SEOポイズニングは、この仕組みを悪用します。

たとえるなら、駅前の案内板で、正しい店への道案内に見せかけて、危険な場所へ誘導するようなものです。

利用者は、検索結果の上位にあるページを「多くの人が見ているから安全そう」と思いがちです。攻撃者はその思い込みを利用し、マルウェア配布サイト、偽ログインページ、詐欺サイトなどへ誘導します。

SG試験では、検索上位＝安全ではないという判断が重要です。

定義・仕組み

SEOポイズニングは、検索エンジンの検索結果において、攻撃者が用意した悪意のあるページや、改ざんされた正規サイトを目立つ位置に表示させる攻撃です。

基本の流れは、次のように考えると分かりやすいです。

攻撃者が悪意のあるWebページを用意する
人気のあるキーワードや話題の言葉を使う
検索エンジンに上位表示されるよう細工する
利用者が検索結果からそのページを開く
マルウェア感染、偽サイトへの誘導、不正なダウンロードなどが行われる

ここで大切なのは、攻撃の入口がメールではなく、検索結果である点です。

JPCERT/CCのブログでも、改ざんされたWebサイトに悪意のあるページが埋め込まれ、訪問者が詐欺サイトや不審なショッピングサイトへ転送される事例が紹介されています。SEOポイズニングも、このようにWebサイトや検索結果への信頼を悪用する攻撃として整理できます。

参考：JPCERT/CC「PHP Malware Used in Lucky Visitor Scam」

また、SEOポイズニングでは、次のような被害につながることがあります。

誘導先	起こり得る被害
偽ログインページ	ID・パスワードの窃取
マルウェア配布ページ	不正プログラムの感染
偽ショッピングサイト	金銭被害、個人情報の入力
不正なダウンロードページ	改ざんされたソフトの実行

SG試験では、検索順位を操作して誘導する攻撃と押さえておくと、選択肢を切りやすくなります。

どんな場面で使う？

SEOポイズニングは、利用者が自分で検索して情報を探す場面で問題になります。

たとえば、次のような場面です。

無料ツールを検索してダウンロードする
有名サービスのログインページを検索して開く
エラー解決方法を検索して手順を実行する
話題のニュースや災害情報を検索する
会社で使うソフトのインストーラを検索する

特に注意したいのは、検索結果から直接ソフトをダウンロードする場面です。

正規サイトに見えるページでも、実際には偽サイトだったり、正規サイトが改ざんされていたりすることがあります。

組織としては、次のような対策が考えられます。

公式サイトや正規の配布元から取得するルールを決める
業務用ソフトのダウンロード手順を社内で明確にする
Webフィルタリングやマルウェア対策ソフトを利用する
不審な検索結果や広告をクリックしないよう教育する
管理者権限で不用意に実行しない

SG試験では、対策として「検索結果を信じて自由にダウンロードさせる」方向の選択肢は危険です。

公式配布元の確認、利用者教育、マルウェア対策、Webアクセス制御といった管理策に結びつけて考えます。

よくある誤解・混同

SEOポイズニングは、似た用語と混同しやすい攻撃です。

用語	判断ポイント
SEOポイズニング	検索結果の上位に悪意あるサイトを表示させる
DNSキャッシュポイズニング	DNSの名前解決情報を改ざんして偽サイトへ誘導する
フィッシング	偽サイトや偽メールで情報を入力させる
ドライブバイダウンロード	サイト閲覧だけでマルウェアをダウンロードさせる
ウォードライビング	移動しながら無線LANのアクセスポイントを探す
IDS・IPS	通信を監視し、不正なパターンを検知・遮断する

特にSG試験では、次のようなひっかけに注意します。

誤解1：SEOそのものが攻撃である

SEOは本来、検索エンジンにページ内容を正しく伝えるための工夫です。

攻撃になるのは、悪意あるサイトへ誘導する目的で検索順位を悪用する場合です。

誤解2：DNSキャッシュポイズニングと同じである

どちらも利用者を不正サイトへ誘導する攻撃ですが、入口が違います。

SEOポイズニング：検索結果を悪用する
DNSキャッシュポイズニング：DNSの名前解決を悪用する

選択肢に「DNSサーバ」「名前解決」「キャッシュの改ざん」とあれば、DNSキャッシュポイズニングを疑います。

誤解3：ウイルス検索エンジンを悪用する攻撃である

「検索エンジン」という言葉につられて、ウイルス検索エンジンやセキュリティ製品の脆弱性と結びつけないようにします。

SEOポイズニングで悪用されるのは、Googleなどの検索エンジンの検索結果における順位付けです。

誤解4：IDSやIPSの説明と混同する

IDSやIPSは、ネットワーク上の不正な通信を検知・遮断する仕組みです。

「パケットを監視する」「不正侵入のパターンを検出する」とあれば、SEOポイズニングではありません。

まとめ（試験直前用）

SEOポイズニングは、検索結果の上位表示を悪用して、悪意あるサイトへ誘導する攻撃です。

試験直前は、次の3点で判断します。

検索結果の上位表示が出たらSEOポイズニング
DNS・名前解決・キャッシュ改ざんならDNSキャッシュポイズニング
パケット監視・侵入検知ならIDSやIPS

SG試験では、「検索上位だから安全」と考えないことが大切です。

業務では、公式サイトの確認、ダウンロード手順の明確化、利用者教育、マルウェア対策を組み合わせてリスクを下げます。