SEOポイズニング（SEO poisoning、検索汚染）は、攻撃者が検索エンジンの順位を操作して不正なページを検索結果の上位に押し込み、そこからマルウェア感染・偽ショッピングサイト・認証情報の窃取へ誘導する攻撃です。利用者は自分で検索してたどり着くため、「上位に出たから安全」という感覚のまま被害に遭います。脆弱性などを突かれた正規サイトが踏み台になることもあり、JPCERT/CCに報告されたWebサイト改ざんは2026年7〜9月に603件と、前の四半期の181件の3倍を超えました（SEOポイズニング以外の改ざんも含む件数です）。本記事では仕組みと手口、2026年の事例、利用者・情シス・サイト運営者それぞれの対策を解説します。
まとめ：SEOポイズニングの要点と2026年の動き
- SEOポイズニングは、検索上位への信頼を悪用して不正サイトへ誘導する攻撃。目的はマルウェア配布・情報窃取・偽サイトでの金銭詐取。
- 代表的な手口は正規サイトの改ざんとクローキング（返し分け）。検索エンジンや検索経由の訪問者にだけ不正な中身を見せるため、運営者がブラウザで自社サイトを開いても気付けない。
- 2026年は、Chocolatey・VPNクライアントなどIT管理者が使うツールの検索が狙われた。国内では企業・大学のサイトが改ざんされ、オンラインカジノの宣伝に使われる事例が続いている。
- 対策は立場で分かれる。利用者は「ソフトを検索結果から入手しない」、情シスは「入手経路を社内で固定する」、サイト運営者は「Googlebotが見たページを確かめ、CMSを更新し続ける」。
- 2026年10月にSEO業界で話題になった「順位計測ツールに差し替えた検索結果が返ってくる件」は、攻撃としてのSEOポイズニングとは別の現象。
SEOポイズニングとは：検索上位への信頼を悪用する攻撃の定義
SEOポイズニングとは、本来はサイトを検索上位に表示させるための技術であるSEO（検索エンジン最適化）を悪用し、悪意あるページを検索結果の上位に表示させる攻撃手法です。「ポイズニング（poisoning、汚染）」はセキュリティ分野で「信頼される仕組みに不正なデータを混ぜる」ことを指し、DNSキャッシュポイズニングと同じ語の使い方です。
この攻撃が成り立つのは、多くの利用者が「検索上位＝信頼できる」と暗黙に判断しているからです。フィッシングメールのように送りつける必要がなく、利用者が自分から検索してたどり着くので警戒されにくくなります。誘導先が偽のログイン画面であることも多く、フィッシングとの関係はフィッシングとは？手口の種類・見分け方と企業が取るべき組織的対策を解説で整理しています。Googleはウェブ検索のスパムに関するポリシーで、クローキングとハッキングされたコンテンツをいずれも違反として定義しています。
試験での問われ方：情報セキュリティマネジメント試験のサンプル問題
SEOポイズニングは、IPAの情報処理技術者試験でも用語の定義として問われます。2022年12月に公開された情報セキュリティマネジメント試験 科目A・B サンプル問題の問19は「SEOポイズニングの説明はどれか」で、正解はア「Web検索サイトの順位付けアルゴリズムを悪用して，検索結果の上位に，悪意のあるWebサイトを意図的に表示させる。」です。ほかの選択肢は、移動しながら無線LANのアクセスポイントを探して侵入する手口（ウォードライビング）、パケットから侵入のパターンを検出して通知・記録する仕組み（IDS）、マルウェア対策ソフトの脆弱性を突いてシステム権限で不正な処理を実行させる攻撃でした。「検索結果の順位」と「悪意あるサイト」の2つがそろう選択肢を選べば正解にたどり着けます。
SEOポイズニングの仕組み：返し分け・改ざん・類似ドメインの手口
キーワードを詰め込むだけの古い手口は検索エンジンに弾かれやすくなりました。いま報告が続くのは、評価の高い正規サイトを乗っ取ってその評価を使う型と、公式に似たドメインで偽サイトを立てる型です。乗っ取ったサイトの上では、次の手口を組み合わせます。
クローキング：User-AgentやRefererによる表示内容の切り替え
クローキングは、同じURLでもアクセス元によって異なる内容を返す手口です。判定の条件には主に2つあります。1つはUser-Agent（アクセス元のソフトウェア名）で、JPCERT/CCは2026年4〜6月に、検索エンジンのUser-Agent（Googlebot）でアクセスしたときだけ海外オンラインカジノのコンテンツが表示される国内サイトの改ざんを確認し、SEOポイズニングと考えられるとしています。もう1つはReferer（どこから来たか）で、セキュアブレインの解説によると、ブックマークから開くと正規のサイトが表示され、検索エンジンを経由したときだけ悪意のあるサイトへ誘導される改ざんがあります。どちらの場合も、運営者が普段どおり自社サイトを開いても異常は見えません。クローキングそのものの定義と、問題にならない出し分けとの線引きはクローキングとは？Googleの定義・手動対策・該当しない出し分けで解説しています。
日本語キーワードハッキング：ランダムなディレクトリへのスパムページ量産
侵入した攻撃者は、検索語に合わせた誘導ページを大量に自動生成します。Googleの日本語キーワードによるハッキングの修正ガイドは、http://example.com/ltjmnjp/341.htmlのようなランダムなディレクトリ名で自動生成の日本語テキストを含むページが作られ、偽ブランド品のストアへのアフィリエイトリンクで稼ぐ型を挙げています。攻撃者がSearch Consoleに自分を所有者として追加し、不正なサイトマップを送信することもあるため、身に覚えのない所有者の追加通知は侵入の兆候です。標的にされやすいのは、更新されないまま放置されたWordPressや、脆弱性のあるプラグイン・テーマを使ったサイトです。
隠しリンクの大量埋め込み：非表示HTMLによる外部サイトの検索評価操作
ページを増やさず、既存ページに見えないリンクを埋め込む型もあります。JPCERT/CCの2026年7〜9月の四半期レポートは、国内の複数の正規サイトに、海外オンラインカジノサイトなどへのリンクを含むHTMLが非表示の状態で5,000行以上埋め込まれた事例を報告しています。正規サイトから参照されているように見せかけ、売り込みたいページの検索評価を高める不正なSEO行為です。閲覧者の画面には何も出ないので、ソースを見ない限り気付けません。
タイポスクワッティング：公式に似たドメインによる偽サイトの開設
タイポスクワッティングは、公式ドメインと1文字違い・単語違いのドメインを取得して偽サイトを立てる手口です。2026年の事例では、Chocolateyの偽サイトにchoclatey[.]org、WatchGuardのVPNクライアントの偽サイトにwatchguard-vpn[.]netが使われました。検索結果のタイトルとスニペットは公式そっくりに作られるため、表示ドメインまで見ないと区別できません。
SEOポイズニングの攻撃事例：海外のキャンペーンと国内のサイト改ざん
SEOポイズニングは名前の付いたキャンペーンとして継続的に観測されています。狙う検索語・踏み台・目的で並べると、次のとおりです。
| 事例 | 誘導の餌（検索語） | 踏み台・偽装 | 目的 |
|---|---|---|---|
| Gootloader | 契約書・書式のテンプレート | 改ざんWordPress | ランサムウェアの前段 |
| SolarMarker | 無料の書式・PDF | 改ざんWordPress | 認証情報の窃取 |
| 日本向け偽ショッピングサイト | 話題の商品名 | 改ざんサイト上のSEOマルウェア | 金銭・カード情報の詐取 |
| Armorsteal（2026年9月） | Chocolateyの導入手順 | 類似ドメインの偽サイト | 遠隔操作・情報窃取 |
| 偽VPNサイト（2026年） | VPNクライアントの入手 | 類似ドメイン・GitHub | VPN認証情報の窃取 |
| 国内サイトの改ざん（2026年） | オンラインカジノ関連語 | 企業・大学の公式サイト | カジノサイトの宣伝 |
GootloaderとSolarMarker：書式テンプレートの検索を狙うマルウェア
海外で長く続いているのが、契約書や申請書などの書式を探す検索を狙う型です。Gootloaderは「agreement」など法務・財務文書のテンプレートを探す人を改ざんしたWordPressサイトへ集め、検索語そのままの名前のZIPファイルに入れたJScriptを実行させます。感染はバックドアの設置やランサムウェア展開の前段にあたるため、発覚後の動き方はランサムウェアの初動対応：感染発覚から隔離・証拠保全・報告・復旧までの手順を参照してください。SolarMarker（Jupyter、Yellow Cockatooとも呼ばれる）も無料の書式やPDFを餌に検索上位へ出て、インストーラを実行させ、ブラウザに保存されたパスワードなどを盗みます。どちらも書式の入手を装い、利用者にスクリプトやインストーラを実行させることが感染の入り口です。
日本向け偽ショッピングサイト：話題の商品名を利用した検索結果の汚染
日本で目立つのは、改ざんされた正規サイトが「そのサイトでは扱っていない商品名」で検索にヒットし、偽ショッピングサイトへ転送される型です。トレンドマイクロの2025年9月18日の記事によると、誘導先の偽ショッピングサイトは少なくとも10万サイト前後で増減を繰り返しています。直近2週間に確認した偽サイトのうち「ミャクミャク」の語を使うものが344件、「大阪関西万博」が74件あり、話題のイベントグッズが餌にされていました。日本サイバー犯罪対策センター（JC3）によると、2025年上半期の悪質なショッピングサイト等の通報は18,738件で、利用者がサイトを知ったきっかけの最多は「インターネット検索結果」でした。
2026年の事例：管理ツールとVPNクライアントの入手経路への攻撃
2026年に目立つのは、IT管理者が業務で使うツールの検索を狙う型です。管理者の端末と認証情報は、社内ネットワークへの入り口になります。
Armorsteal：Zscaler ThreatLabzは2026年10月22日、2026年9月に確認したSEOポイズニングのキャンペーンを公表しました。「install Chocolatey」などの検索から偽サイトへ誘導し、ページに表示したPowerShellコマンドを利用者自身に実行させます。正規のChocolateyインストーラも同時に動かすため導入は成功したように見え、裏では遠隔操作や認証情報の窃取を行うマルウェアが常駐します。コマンドを貼らせる誘導はClickFixとは？偽CAPTCHAでコマンドを実行させる手口と実装者向けの検知・防御【2026年時点】と同じ発想です。
偽WatchGuard VPNサイト：Huntressは2026年10月13日、MSPの管理者がBingで検索した直後に偽サイトを開いた事案を報告しました。広告ではなく自然検索の結果からの誘導で、偽サイトはダウンロード前にVPNサーバー・ユーザー名・パスワードを2回入力させ、その後は正規の署名済みインストーラを配ります。マルウェア検知では気付けない型です。
Storm-2561：Microsoftは2026年3月、偽のVPNクライアントをSEOポイズニングで配るStorm-2561の活動を公表しました。「Pulse VPN download」などの検索から偽サイトへ誘い、GitHubに置いたZIP内の署名付きインストーラでVPNの認証情報を盗みます。偽サイトから入れたソフトの確かめ方はOBS Studioは安全？公式サイトの見分け方と2026年プラグイン改ざん事件の確認・対処でも具体例を挙げています。
国内の事例：企業・大学のWebサイト改ざんとカジノ関連コンテンツの表示
国内では「踏み台にされる側」の被害が増えています。JPCERT/CCに報告されたWebサイト改ざんは、2026年4〜6月が181件（前四半期90件）、7〜9月が603件（2026年10月22日公開のレポート）と、2四半期続けて大きく増えました。2026年4月には電子部品メーカーのイビデンの公式サイトに無関係なページが表示され、10月には琉球大学が、産学官連携Webサイトが改ざんされ「オンラインカジノらしきサイト」が表示される状態だったと公表しています（大学の公式サイト本体への影響はないとしています）。経緯と公表内容の違いはイビデンのサイバー攻撃（不正アクセス）｜2026年4月のサイト改ざんの経緯・原因と最終報告にまとめました。
この型の被害は、カジノの宣伝に使われるだけでは終わりません。問い合わせフォームの入力内容などへの不正アクセスが疑われる場合は、漏えい等のおそれと報告対象への該当性を調査し、個人情報保護委員会等への報告と本人への通知の要否を判断します。事案の公表は一律の義務ではなく、被害拡大の防止などの観点から検討します。
SEOポイズニングの被害と見分け方：狙われやすい検索語
利用者に及ぶ被害：マルウェア感染・金銭の詐取・認証情報の窃取
Gootloaderのように、書式の入手を装ってマルウェアを実行させ、企業への侵入につなげる型があります。偽ショッピングサイトでは金銭とカード情報を、偽のログイン画面では認証情報を取られ、VPNの認証情報なら社内ネットワークへ直接入られます。
不審な検索結果と偽サイトを見分ける5つの確認点
次のどれかに当てはまったら、その場で閉じてください。
- 表示ドメインが公式と1文字でも違う（綴りの欠落、「-vpn」「-download」などの付け足し、見慣れないトップレベルドメイン）。
- 検索結果からいきなりファイルのダウンロードやコマンドの実行を求められる。
- ダウンロードの前にID・パスワードやサーバー名の入力を求められる。
- 検索結果のタイトルや説明文と、実際のページ内容が食い違う。
- 通販サイトで日本語が不自然、運営者情報や所在地がない、価格が極端に安い。
通販サイトの安全性は、JC3が公開するSAGICHECKでも確認できます。
狙われやすい検索語：ダウンロード・ログイン・話題・エラー対処
攻撃者は、検索した人がすぐ行動する語を狙います。警戒すべき検索語には「〇〇 ダウンロード」「〇〇 インストール」などの入手系があり、管理ツールやVPNクライアントを装う事例が確認されています。「〇〇 ログイン」の認証系も警戒対象です。前述のHuntressの事例のように、ダウンロードを装いながら認証情報を求める型もあります。話題の商品名やイベント名は偽ショッピングサイトの餌になり、エラーメッセージや設定手順の検索は「このコマンドを貼れば直る」という誘導と相性がよい型です。
SEOポイズニング対策：利用者・情シス・サイト運営者の立場別
対策は「被害を避ける利用者」「社内の入手経路を決める情シス」「踏み台にされないサイト運営者」で中身が変わります。
利用者の対策：ソフトの入手元確認と不審なコマンド実行の回避
- ソフトウェアや公式サービスは検索結果のリンクを踏まず、公式ドメインを直接入力するかブックマークから開く。
- 検索結果からダウンロードしたZIP・EXE・MSIは実行しない。検索語そのままの名前のファイルは特に疑う。
- Webページに表示されたPowerShellやターミナルのコマンドを、意味を確かめずに貼り付けない。
- セキュリティソフトやEDRを最新の状態で動かし、ブラウザのセーフブラウジング機能を有効にする。
情シスの対策：管理ツールの入手経路固定と偽ドメインへの接続監視
2026年の事例が示すとおり、管理者が「いつものツールを検索して入れる」運用そのものが攻撃面です。社内で使うツールとVPNクライアントは、公式のダウンロードURLを社内ポータルに載せるか、検証済みの社内リポジトリから配布し、検索での入手を禁じます。盗まれたパスワードによる不正ログインを抑えるため、VPNを含む各サービスで多要素認証を必須にしてください。ただし、ワンタイムコードなどもフィッシングで盗まれるため、対応するサービスではFIDOなどのフィッシング耐性のある認証方式を優先します。
検知の側では、プロキシやDNSのログで、社内の利用ツール名に似た未知のドメイン（-vpnや-downloadの付いたもの、綴りが1文字違うもの）への接続を探します。端末側はEDRとは？EPP・XDRとの違いと検知の仕組み・導入判断を実装者向けに解説【2026年時点】のような仕組みで、不審なスケジュールタスクやPowerShellの実行を拾える状態にしておきます。
サイト運営者の対策：Googlebotの取得内容確認とCMSの継続更新
正規サイトの改ざんを利用するSEOポイズニングでは、運営者の保守が踏み台化を防ぐ対策になります。返し分けはブラウザで開いても見えないので、確認は検索エンジン側の視点で行います。
- Search Consoleのセキュリティの問題レポートに警告が出ていないかを見る。
site:自社ドメインで検索し、扱っていない商材やカジノ、ランダムな英数字のディレクトリのページが混じっていないかを見る。Googleのガイドは、Googleで見つからなければ別の検索エンジンでも同じ検索を試すよう勧めています。- 不審なURLをSearch ConsoleのURL検査ツールに入れ、インデックス登録の結果の［クロール済みのページを表示］で、Googleが受け取ったHTMLを確かめる。Googleのガイドによると、ハッキングされたページはブラウザでは404などを返して「削除済み」に見せかけることがあり、URL検査ツールでその裏の隠しコンテンツを確認できます。
- Search Consoleの所有者一覧に身に覚えのないユーザーがいないかを見る。いれば権限を取り消し、所有権の確認に使われたトークンを削除する。ルートの確認用HTMLファイルだけでなく、
.htaccessの不正な書き換えルールによって確認用HTMLが動的に生成されていないかも調べる。
注意したいのは、URL検査の「公開URLをテスト」（ライブテスト）が、GooglebotではなくGoogle-InspectionToolという別のクローラで取得する点です。デスクトップ用のUser-AgentはMozilla/5.0 (compatible; Google-InspectionTool/1.0)で「Googlebot」の文字列を含まないため、Googlebotという名前だけを見て出し分ける改ざんは、ライブテストでは正常なページを返すことがあります。ライブテストで異常が出なくても、クロール済みのページとsite:検索の結果を優先して判断してください。User-Agentを変えて自社ページの中身を比べるスクリプトはイビデンの改ざんの記事に載せています。ソースに非表示のリンクが大量に入っていないかも、ページのHTMLを保存して前回分と差分を取れば確かめられます。
改ざんそのものを防ぐには、WordPressやプラグイン・テーマを更新し、使っていないプラグインは削除し、管理画面に多要素認証を設定します。ファイル改ざん監視やWAFとは？仕組み・ファイアウォール／IPS・IDSとの違いと企業の選び方を解説で取り上げた仕組みで、不正な書き換えとアクセスを検知します。更新を止めたWordPressを放置することは、SEOポイズニングの踏み台を自分で用意しているのと同じです。更新と監視を自社で回し切れない場合は、WordPress保守・メンテナンスのように保守を外部に任せる方法もあります。
踏み台にされたときの復旧手順：不正ページの削除から審査の申請まで
- 作業前にサーバー上のファイルとデータベースを丸ごとバックアップし、調査用に残す。
site:検索とSearch Consoleのページインデックスで、不正ページの範囲を洗い出す。- 不正ファイル・不正ページ・不審な管理者アカウント・Search Consoleの不審な所有者を削除し、可能なら改ざん前のバックアップから戻す。
- CMS本体・プラグイン・テーマを更新し、侵入経路になった脆弱性を塞ぐ。
- 管理画面・FTP・データベース・ホスティングのパスワードをすべて変更する。
- Search Consoleのセキュリティの問題レポートに問題が表示されている場合は、記載されたすべての問題を修正したうえで審査をリクエストする。サーバーに個人情報が保存されていた場合は、漏えいのおそれとして個人情報保護委員会への報告が要るかを判断する。
マルバタイジング・寄生SEO・順位計測ツールの「ポイズニング」との違い
マルバタイジング（不正広告）は、検索連動型広告やWebサイト上のバナーなど、オンライン広告を悪用してマルウェアや詐欺へ誘導する手口です。有名ソフトの名前で広告を出し、トロイの木馬化したインストーラの配布ページへ誘導します。目的はSEOポイズニングと重なり、両方を併用する攻撃者もいますが、悪用するのが「広告枠」か「自然検索」かが違います。
寄生SEO（サイトの評判の不正使用）は、評価の高いサイトに第三者のコンテンツを載せ、そのサイトの評価に相乗りして順位を得る手法です。Googleは2024年3月にこれをポリシー違反として明文化し、同年11月には第一者の関与があっても違反にあたると範囲を広げました。問題の中心はサイトの評価を利用した順位の不正操作であり、サイトの乗っ取りやマルウェア配布は成立条件ではありません。
順位計測ツールの「ポイズニング」は、2026年秋にSEO業界で話題になった現象です。SERP監視サービスのNozzleは2,990万件の検索結果の調査で、9月13日からGoogleへのリクエストが大量に失敗し始め、9月20日からは上位のサイトを差し替えた検索結果が返ってくるようになったと報告し、AIのスクレイピングに対するGoogleの対応だと見ています。この調査が直接示しているのは、Nozzleが取得した検索結果の異常です。一般利用者への影響やGoogle側の意図は、この観測だけでは断定できません。ツールで急に圏外になっても、サーチコンソールとは？できること・設定手順とSEO改善への使い方【2026年時点】の表示回数とクリック数が続いていれば、サイトに問題はない可能性が高いと判断できます。
よくある質問
SEOポイズニングとフィッシングはどう違いますか？
フィッシングはメールやSMSで偽リンクを送りつけて誘導するのが典型ですが、SEOポイズニングは利用者が自分で検索してたどり着く点が違います。両者は排他的ではなく、SEOポイズニングの誘導先がフィッシングページであることも多くあります。
検索結果の上位に出てくるサイトは安全ではないのですか？
上位に出ることは安全の保証になりません。改ざんされた正規サイトは元の評価を持ったまま上位に出るうえ、検索経由の訪問者にだけ不正なページを見せることがあります。ソフトウェアのダウンロードやログインは、検索結果ではなく公式ドメインの直接入力かブックマークから行ってください。
自社サイトがSEOポイズニングの踏み台にされていないか確認する方法は？
Search Consoleのセキュリティの問題レポートと所有者一覧を確認し、site:検索で身に覚えのないページがないかを見ます。不審なURLはURL検査ツールの［クロール済みのページを表示］で、Googleが受け取ったHTMLを確かめてください。ブラウザで開いて正常に見えても、改ざんされていないとは言えません。
SEOポイズニングは検索連動型広告でも起きますか？
広告枠を悪用する手口は「マルバタイジング（不正広告）」と呼ばれ、厳密にはSEOポイズニングと区別されます。目的は共通し、併用する攻撃者もいるため、広告枠・自然検索のどちらも警戒が必要です。
SEOポイズニングの被害に遭ったらどう対応すべきですか？
利用者側は、感染が疑われる端末をネットワークから切り離してマルウェアスキャンを行い、入力・保存した認証情報やカード情報を変更・利用停止します。偽のVPNサイトに認証情報を入力した場合は、VPNのログイン履歴も確認してください。サイト運営者側は、上の復旧手順に沿って不正ページと侵入原因を取り除き、Search Consoleに問題が表示されている場合は、すべて修正したうえで審査を申請します。
