政府サイト悪用！「Gambling Goblin」の大規模SEO詐欺から企業を守る対策

信頼性の高いウェブサイトが悪用される新たなSEO詐欺の脅威

近年、サイバー攻撃の手口は巧妙化の一途をたどっています。中でも、信頼性の高いウェブサイトのドメインを悪用したSEO詐欺は、企業にとって看過できない新たな脅威です。チェック・ポイント・リサーチ（CPR）が発見した中国語話者の脅威グループ「Gambling Goblin」は、この手口を大規模に展開し、ブラジル政府のウェブサイトを侵害して、検索順位を不正に操作しています。情報システム担当者や企業のDX推進担当者にとって、この脅威の実態を理解し、適切な対策を講じることは喫緊の課題です。

「Gambling Goblin」とは？大規模SEO詐欺の概要

「Gambling Goblin」は、中国語を話すサイバー脅威グループで、高い信頼性を持つ政府系ウェブサイトを悪用した大規模なSEO詐欺活動を行っています。彼らの主な手口は以下の通りです。

ブラジル政府サイトの信頼性を悪用: 連邦・州・自治体の公的機関が運用する「.gov.br」ドメインサイト（ブラジル政府の正規ウェブサーバー）を侵害し、その高い信頼性を悪用して自らのコンテンツを検索エンジンの上位に表示させます。
Google Play、Microsoft Store、Amazonになりすまし: フィッシングページは、正規のアプリストアであるGoogle Play、Microsoft Store、Amazonになりすましており、偽の評価やレビューまで備えています。
ギャンブル・賭博サイトへの誘導、マルウェア配布の可能性: これらのフィッシングページは、最終的にオンラインギャンブルやスポーツ賭博サイトへ被害者を誘導することを目的としています。さらに、攻撃者が設定をわずかに変更するだけで、悪意のあるマルウェアを被害者に直接送り込むことも可能な状態にあります。

手口の詳細：信頼されたサーバーが「隠れた侵入口」に

Gambling Goblinは、ターゲットとなるホスト（サーバー）への侵入に成功すると、多機能で高度に難読化されたLinux用ツールキットを展開します。これにはダウンローダー、複数のバックドア、認証情報窃取ツール、偵察エージェントなどが含まれます。

攻撃の真の目的は、ネットワーク層で実行されます。彼らは侵害したサーバーに独自のApacheモジュール（WebサーバーソフトウェアApacheの機能を拡張するプログラム）を組み込み、訪問者を密かに攻撃者の管理下にあるフィッシングページへと中継します。この際、ブラウザのアドレスバーには外部のドメインが表示されず、ユーザーは正規のサイトを閲覧していると錯覚させられます。さらに、このモジュールはサーバーのセキュリティヘッダー（Webサイトのセキュリティ設定をブラウザに伝えるためのHTTPヘッダー）を無効化し、埋め込まれたスクリプトが制限なく実行できる状態を作り出します。これにより、信頼性の高いサーバーが、ユーザーに気づかれにくい「隠れた侵入口」へと変貌してしまうのです。

これらのフィッシングページは、人間と検索エンジンの両方を欺くよう作られており、高い検索評価を持つドメインを連鎖的に利用することで、ギャンブルコンテンツを検索結果の上位に押し上げ、大量のトラフィックを乗っ取ります。

企業・組織が直面するリスク

Gambling GoblinのようなSEO詐欺キャンペーンは、企業や組織に複数の深刻なリスクをもたらします。

ブランドイメージの毀損: 自社のウェブサイトや関連ドメインが攻撃に悪用された場合、企業や組織の信頼性が大きく損なわれます。
ユーザーへの直接的な被害: フィッシング詐欺によってユーザーが個人情報を窃取されたり、マルウェアに感染したりする可能性があります。これにより、顧客からの信頼喪失や法的責任問題に発展するリスクも考えられます。
信頼性の高いドメインが悪用される新たな脅威: 通常、スパイ活動レベルの作戦に用いられるような高度なツール群が悪用されており、サイバー犯罪とAPT攻撃（Advanced Persistent Threat：特定のターゲットから情報を盗み出すことを目的とした、高度で継続的なサイバー攻撃）との境界線が曖昧になっています。これは、あらゆる企業が高度な攻撃の標的となり得ることを示唆しています。

情報システム担当者が取るべき対策

情報システム担当者やDX推進担当者は、このような脅威から自社のシステムとユーザーを守るために、以下の対策を講じる必要があります。

Apacheの設定とインストール済みモジュールの監査:
想定外の「.so」ファイル（共有ライブラリファイル）、特に「mod_ssl」や「mod_suexec」など、タイムスタンプが正規モジュールと一致するよう偽装されたファイルがないか、定期的に確認してください。
セキュリティヘッダーの無効化に対する警戒:
特定のURLパスで「Content-Security-Policyヘッダー」（コンテンツセキュリティポリシーを定義するヘッダー）が突然無効化されるなど、セキュリティヘッダーの異常な変更がないか監視してください。これは、リバースプロキシの挙動が埋め込まれたことを強く示唆しています。
ドメイン評価を資産として保護する:
「.gov」のような信頼性の高いドメインが侵害されると、その利用者に被害が及ぶだけでなく、その信頼性が詐欺を「洗浄」する武器として悪用される可能性があります。自社のドメイン評価を保護するための厳重な対策が必要です。
正規プロセスへのなりすましや不正なApacheモジュールの監視:
エンドポイント上のマルウェアだけでなく、正規プロセスになりすます攻撃や、不正にインストールされたApacheモジュールがないか、セキュリティチームは積極的に探し出し、対処する必要があります。

これらの対策を講じることで、組織のデジタル資産とユーザーをサイバー脅威から守り、信頼性を維持することができます。

チェック・ポイント・リサーチの役割

チェック・ポイント・リサーチ（CPR）は、チェック・ポイントのお客様や脅威情報コミュニティに対し、最新のサイバー脅威インテリジェンスを提供しています。世界中のサイバー攻撃に関するデータを収集・分析し、ハッカーを抑止しながら、自社製品に搭載される保護機能の開発に携わっています。セキュリティベンダー、捜査当局、各CERT組織と協力し、サイバーセキュリティ対策に取り組んでいます。

Check Point Research ブログ: https://research.checkpoint.com/
X (旧Twitter): https://x.com/cpresearch

まとめ：組織の信頼性を守るための継続的なセキュリティ対策の重要性

「Gambling Goblin」の事例が示すように、サイバー攻撃は常に進化し、信頼性の高いインフラを悪用する新たな手口が生み出されています。企業や組織は、自社のウェブサイトやシステムが攻撃の隠れた侵入口とならないよう、継続的なセキュリティ対策と監視を強化する必要があります。特に、情報システム担当者やDX推進担当者は、本記事で紹介した対策を参考に、システムの監査、セキュリティ設定の監視、そしてドメイン評価の保護に努め、組織の信頼性を守ることが求められます。

より詳細な情報は、以下のチェック・ポイント・リサーチのブログ記事をご確認ください。