公開2024.12.27更新2026.10.23 SEO

SEOポイズニングとは？仕組み・手口と2026年の攻撃事例・企業が取るべき対策

Q: 自社サイトがSEOポイズニングの踏み台にされていないか確認する方法は？

サーチコンソールのセキュリティの問題レポートに警告が出ていないかを確認し、 site: 検索で身に覚えのないページが自ドメインに現れていないかを点検します。あわせてCMSやプラグインの更新状況、管理画面の不審なログインを確認してください。

SEOポイズニング（SEO poisoning、検索汚染）は、攻撃者が検索エンジンのランキングを操作して不正なページを検索結果の上位に押し込み、そこを入り口にマルウェア感染・偽ショッピングサイトへの誘導・情報窃取を狙う攻撃です。上位表示への信頼を逆手に取るため、利用者は「検索して最初に出てきたから安全」という感覚のまま被害に遭います。2026年10月にも、開発ツールやVPNクライアントを探すIT管理者を狙った事例が相次いで報告されました。本記事では定義と仕組み、2026年の事例を含む攻撃キャンペーン、利用者・情シス・サイト運営者それぞれの対策を解説します。

まとめ：SEOポイズニングの要点と2026年10月時点の動き

SEOポイズニングは、検索結果の上位表示に対する信頼を悪用し、不正サイトへ誘導する攻撃。目的はマルウェア配布・情報窃取・偽サイトでの金銭詐取。
核心の手口は「クローキング」と「正規サイトの改ざん」。クローラには正常なページを、利用者には不正なページを返し分け、改ざんした正規サイト（多くはWordPress）を踏み台にする。
2026年は、Chocolatey・VPNクライアント・PuTTYなど管理者が使うツールの検索が狙われている。偽サイトが正規の署名済みインストーラを配り、マルウェア検知に引っかからない型も出た。
対策は立場で分かれる。利用者は「検索結果から入手しない」、情シスは「入手経路を社内で固定する」、サイト運営者は「踏み台化の検知とCMSの保守」。
2026年10月にSEO業界で話題の「Googleが順位計測ツールに偽の検索結果を返す件」は、攻撃としてのSEOポイズニングとは別の現象。

SEOポイズニングとは何か：検索上位への信頼を悪用する攻撃の定義

SEOポイズニングとは、本来はサイトを検索上位に表示させるための技術であるSEO（検索エンジン対策）を悪用し、悪意あるページを検索結果の上位に表示させる攻撃手法です。「ポイズニング（poisoning、汚染）」はセキュリティ分野で「信頼される仕組みに不正なデータを混ぜる」ことを指し、DNSキャッシュポイズニングなど別の攻撃にも使われる語です。SEOポイズニングは検索結果そのものを汚染対象にする点を特徴とします。

この攻撃が成立するのは、多くの利用者が「検索上位＝信頼できる」と暗黙に判断するからです。フィッシングメールのように送りつける必要がなく、利用者が自分から検索してたどり着くため、警戒されにくい攻撃になります。フィッシングとの関係はフィッシングとは？手口の種類・見分け方と企業が取るべき組織的対策を解説も併せて確認してください。

SEOポイズニングの仕組み：クローキング・改ざん・類似ドメインの手口

旧来のキーワード乱用型は通りにくくなり、現在の手口は「正規サイトの改ざん」と「クローキング」が中心です。Googleもウェブ検索のスパムに関するポリシーで、クローキングとハッキングされたコンテンツを違反として定義しています。

クローキングで検索クローラと利用者に別々のページを返し分ける手口

クローキングは、同じURLでもアクセス元によって異なる内容を返す手口です。トレンドマイクロが解析した日本向けの事例では、SEOマルウェアがHTTPリクエストのUser-Agentヘッダを検査し、GoogleやBingのクローラには検索順位を上げるための正常に見えるコンテンツを、一般利用者には偽ショッピングサイトへ誘導するコンテンツを返していました。検索エンジンには良質なページと評価させ、人間には不正ページを見せる出し分けが、上位表示と攻撃を両立させる中核です。

正規サイトを改ざんしてドアウェイページを大量に自動生成する手口

攻撃者は自前でドメインを用意せず、脆弱性のある正規サイトを乗っ取って踏み台にします。標的にされやすいのは、更新されないまま放置されたWordPressや、脆弱性を抱えたプラグイン・テーマを使ったサイトです。侵入後、検索語に合わせた大量の誘導ページ（ドアウェイページ）を自動生成し、既存サイトが持つドメインの評価に相乗りして上位表示を狙います。運営者が気づかないうちに、自社サイトがマルウェア配布の入り口になっているケースは少なくありません。

キーワードの詰め込みと不正リンクは改ざんサイトの補助として残る

ページに検索語を不自然な密度で詰め込むキーワードスタッフィングや、低品質サイト間で相互リンクを張って評価を水増しする不正リンクは、古典的な手口です。単独では効果が薄れましたが、改ざんサイトやクローキングと組み合わせる補助的な手段として今も使われています。

タイポスクワッティングで公式に似たドメインの偽サイトを立てる手口

タイポスクワッティングは、公式ドメインと1文字違い・単語違いのドメインを取得して偽サイトを立てる手口です。2026年の事例では、Chocolateyの偽サイトにchoclatey[.]org、WatchGuardのVPNクライアントの偽サイトにwatchguard-vpn[.]netが使われました。検索結果のタイトルとスニペットは公式そっくりに作られるため、表示されたドメインを1文字ずつ確かめないと見抜けません。

実際のSEOポイズニング攻撃事例：Gootloaderから2026年10月の手口まで

SEOポイズニングは過去の話ではなく、名前の付いたキャンペーンが継続的に観測されています。代表例を、狙う検索語・踏み台・目的の違いで整理します。

キャンペーン	誘導の餌（検索語）	踏み台・偽装	最終的な目的
Gootloader	契約書・法務/財務テンプレート	改ざんWordPress	バックドア・ランサムウェア前段
SolarMarker	無料テンプレート・PDF書式	改ざんWordPress・PDF	認証情報・クレカ情報の窃取
日本向け偽ショッピングサイト	商品名・話題のグッズ	改ざんサイト上のSEOマルウェア	偽サイトでの金銭・情報詐取
Armorsteal（2026年9月）	Chocolatey・MASの導入手順	類似ドメインの偽サイト	遠隔操作・情報窃取
偽VPNサイト（2026年）	VPNクライアントのダウンロード	類似ドメイン・GitHub	VPN認証情報の窃取
Oyster（2025年6月〜）	PuTTY・WinSCPの入手	検索広告・偽サイト	バックドアの設置

Gootloader：契約書やテンプレートの検索を狙うローダー型マルウェア

Gootloaderは、JScriptで書かれたマルウェアを配布するキャンペーンです。「契約書」「agreement」などの法務・財務文書のテンプレートを探す検索を標的にし、改ざんしたWordPressサイトを水飲み場として利用します。利用者がダウンロードするのは、検索語に数桁のランダムな数字を付けた名前のZIPファイルです。BleepingComputerなどの報告によれば、Gootloaderは2025年10月に約7か月の休止を経て再始動し、WOFF2フォントを使ったファイル名の難読化などの回避手法を強化しています。感染はバックドア設置やランサムウェア展開の前段にあたるため、放置できません。感染が発覚した後の動き方はランサムウェアの初動対応：感染発覚から隔離・証拠保全・報告・復旧までの手順で解説しています。

SolarMarker：無料書式の検索から認証情報を盗む情報窃取型マルウェア

SolarMarker（Jupyter、Polazert、Yellow Cockatooとも呼ばれる）は、SEOポイズニングを主な感染経路とする情報窃取型マルウェアです。Palo Alto Networks（Unit 42）などの分析では、改ざんしたWordPressサイト上のPDFや無料書式を餌に検索上位へ押し上げ、EXEやMSI形式のインストーラを実行させて.NET製のバックドアを展開します。狙われるのはブラウザに保存されたパスワード・クレジットカード情報・オートフィルデータで、「テンプレートをダウンロードしただけ」で認証情報を丸ごと抜かれます。

日本向け偽ショッピングサイト：話題の商品名で検索結果を汚染する

日本で目立つのが偽ショッピングサイトへの誘導です。トレンドマイクロは、6種類のSEOマルウェアのC2サーバから2024年にかけて227,828件の偽ショッピングサイトを収集し、この分析はIEEE Dependable and Secure Computing 2024でBest Paper Awardに選ばれました。同社は2025年9月に、大阪・関西万博グッズの検索結果から偽サイトへ誘導する事例も報告しています。日本サイバー犯罪対策センター（JC3）によると、2025年上半期の悪質なショッピングサイト等の通報は18,738件（前年同期は17,159件）で、利用者がサイトを知ったきっかけの最多は「インターネット検索結果」でした。

2026年秋の事例：管理ツールとVPNクライアントの入手経路が狙われる

2026年に入って目立つのは、IT管理者が業務で使うツールの検索を狙う型です。管理者の端末や認証情報は、社内ネットワークへの入り口になるからです。

Armorsteal：Zscaler ThreatLabzは2026年10月22日、2026年9月に確認したSEOポイズニングのキャンペーンを公表しました。「install Chocolatey」「Microsoft Activation Scripts」などの検索から偽サイトへ誘導し、ページに表示したPowerShellコマンドを利用者自身に実行させる手口です。正規のChocolateyインストーラも同時に動かすため、導入は成功したように見えます。裏では遠隔操作・キー入力の記録・ブラウザのパスワードやSSH鍵の窃取を行うマルウェアが常駐します。コマンドを貼らせて実行させる誘導はClickFixとは？偽CAPTCHAでコマンドを実行させる手口と実装者向けの検知・防御と同じ発想です。

偽WatchGuard VPNサイト：Huntressは2026年10月13日、MSPの管理者がBingで検索した直後に偽サイトを開いた事案を報告しました。広告ではなく自然検索の結果からの誘導で、偽サイトはダウンロード前にVPNサーバー・ユーザー名・パスワードを入力させ、1回目を必ず「誤り」として2回入力させます。その後は公式CDNから正規の署名済みインストーラを配るため、マルウェア検知では気づけません。

Storm-2561：Microsoftは2026年3月、偽のVPNクライアントをSEOポイズニングで配るStorm-2561の活動を公表しました。「Pulse VPN download」などの検索から偽サイトへ誘い、GitHubに置いたZIP内の署名付きMSIでVPNの認証情報を盗む手口です。

Oyster：Arctic Wolfは、2025年6月上旬からPuTTYやWinSCPの偽インストーラでバックドアを配る活動を報告し、管理ツールを検索で探させない運用を推奨しています。偽サイト経由のソフト入手の見分け方はOBS Studioは安全？公式サイトの見分け方と2026年プラグイン改ざん事件の確認・対処でも具体例を挙げています。

SEOポイズニングの被害と見分け方：狙われやすい検索語の4類型も解説

利用者に及ぶ被害：マルウェア感染・金銭の詐取・認証情報の窃取

被害は大きく三つに分かれます。第一に、情報窃取型マルウェアやランサムウェアの感染で、企業では侵入の起点にされます。第二に、偽ショッピングサイトでの金銭・カード情報の詐取です。第三に、正規サービスを装ったログイン画面での認証情報の窃取で、VPNの認証情報なら社内ネットワークへ直接入られます。いずれも「自分で検索して選んだ」という安心感が判断を鈍らせます。

不審な検索結果と偽サイトを見分けるときに確かめておく5つの勘所

表示ドメインが公式と1文字でも違う（綴りの欠落、「-vpn」「-download」などの付け足し、見慣れないトップレベルドメイン）。
検索結果からいきなりファイルのダウンロードやコマンドの実行を求められる。
ダウンロードの前にID・パスワードやサーバー名の入力を求められる。
検索スニペットの文面と実際のページ内容が食い違う。
通販サイトで日本語が不自然、運営者情報や所在地がない、価格が極端に安い。

通販サイトの安全性は、JC3が公開するSAGICHECKでも確認できます。

狙われやすい検索語の4類型：ダウンロード・ログイン・話題・エラー対処

攻撃者は、検索した人がすぐ行動する語を狙います。一つ目は「〇〇ダウンロード」「〇〇インストール」などの入手系で、管理ツールやVPNクライアントが典型です。二つ目は「〇〇ログイン」の認証系で、偽のログイン画面へ誘導されます。三つ目は話題の商品名やイベント名で、偽ショッピングサイトの餌になります。四つ目はエラーメッセージや設定手順の検索で、「このコマンドを貼れば直る」という誘導と相性がよい型です。

SEOポイズニング対策：利用者・情シス・サイト運営者の立場別に整理

対策は「被害を避ける利用者」「社内の入手経路を決める情シス」「踏み台にされないサイト運営者」で内容が変わります。

利用者が取るべき対策：検索結果からの入手とコマンド実行を止める

ソフトウェアや公式サービスは検索結果のリンクを踏まず、公式ドメインを直接入力するかブックマークから開く。
検索結果からダウンロードしたZIP・EXE・MSIは実行しない。検索語そのままの名前のファイルは特に疑う。
Webページに表示されたPowerShellやターミナルのコマンドを、意味を確かめずに貼り付けない。
セキュリティソフトやEDRを最新の状態で動かし、ブラウザのセーフブラウジング機能を有効にする。

情シスが決めておく社内ルール：管理ツールの入手経路を固定する

2026年の事例が示すとおり、管理者が「いつものツールを検索して入れる」運用そのものが攻撃面です。社内で使うツールとVPNクライアントは、公式のダウンロードURLを社内ポータルに載せるか、検証済みの社内リポジトリから配布し、検索での入手を禁じます。偽サイトに認証情報を入力しても突破されないよう、VPNを含む全アカウントで多要素認証を必須にしてください。端末側はEDRとは？EPP・XDRとの違いと検知の仕組み・導入判断を実装者向けに解説のような検知の仕組みで、不審なスケジュールタスクやPowerShellの実行を拾える状態にしておきます。

サイト運営者が取るべき対策：踏み台にされていないかを検知する

SEOポイズニングは正規サイトの改ざんに依存するため、運営者の保守が防御線になります。起点は、自社サイトが踏み台にされていないかの検知です。サーチコンソールのセキュリティの問題レポートに警告が出ていないかを定期的に確かめ、site:検索で身に覚えのないページ（英語のスパム文面や扱っていない商材の大量ページ）がないかを点検します。クローキングは、検索クローラを装ったアクセスと通常のブラウザからのアクセスで取得内容が異なるため、両者の応答を比べると見つけられます。

改ざん自体を防ぐには、WordPressやプラグイン・テーマを常に更新し、使っていないプラグインは削除し、管理画面に多要素認証を設定します。ファイル改ざん監視（FIM）やWAFで不正な書き換えとアクセスを検知します。更新を止めたWordPressを放置することは、SEOポイズニングの踏み台を自ら用意しているのと同じです。更新と監視を自社で回し切れない場合は、WordPress保守・メンテナンスのように保守を外部に任せる方法もあります。フィッシング配信を含む実装レベルの技術対策はフィッシング詐欺とは？成立の仕組みと実装者向けの技術的対策を解説が参考になります。

踏み台にされたときの復旧手順：不正ページの削除から再審査まで

site:検索とサーチコンソールのページインデックスで、不正ページの範囲を洗い出す。
不正ファイル・不正ページ・不審な管理者アカウントを削除し、可能なら改ざん前のバックアップから戻す。
CMS本体・プラグイン・テーマを更新し、侵入経路になった脆弱性を塞ぐ。
管理画面・FTP・データベース・ホスティングのパスワードをすべて変更する。
サーチコンソールのセキュリティの問題レポートから審査をリクエストし、残った不正URLは削除リクエストと再クロールで検索結果から外す。

SEOポイズニングと混同されやすいマルバタイジング・寄生SEOとの違い

マルバタイジング（不正広告）は、自然検索ではなく検索連動型広告の枠を悪用する手口です。有名ソフトの名前で広告を出し、トロイの木馬化したインストーラの配布ページへ誘導します。目的はSEOポイズニングと重なり、Oysterのように両方を併用する活動もありますが、悪用するのが「広告枠」か「自然検索」かが異なります。

寄生SEO（サイトの評判の不正使用）は、評価の高いサイトに第三者コンテンツを載せ、そのサイトの評価に相乗りして順位を得る手法です。Googleは2024年3月にこれをポリシー違反として明文化し、同年11月には第一者の関与があっても違反にあたると範囲を広げました。ただしこれは順位の不正操作であって、マルウェア配布や偽サイト誘導を目的とするSEOポイズニングとは目的が異なります。

順位計測ツールで話題の「Googleのポイズニング」はSEOポイズニングと別物

2026年10月、SEO業界では「Googleが検索結果をポイズニングしている」という話題が広がりました。これは攻撃ではなく、Googleがスクレイピングと疑ったアクセスに、差し替えた検索結果を返している現象です。SERP監視サービスのNozzleは53か国の検索結果の調査で、9月20日に差し替えられた結果が初めて現れ、1〜2ページ目のどちらかが差し替えられた割合が9月30日に43.5%まで達したと報告しています（10月21日更新時点）。差し替え時は上位サイトが消え、RedditやFacebookなどが入ります。Ahrefsも2026年10月22日のブログで、データ提供元によって検索結果の5〜20%が影響を受けていると推定し、除外と再取得の仕組みを入れたと説明しています。どちらの記事にもGoogleの公式コメントは載っていません。

影響を受けるのは順位計測ツールの数値で、実際の利用者が見る検索結果やサイトの評価ではありません。Nozzleによれば差し替えの約8割は1回限りで、自社サイトが一時的に上位10位から消えてすぐ戻った場合はこの現象を疑えます。実際の流入はサーチコンソールとは？できること・設定手順とSEO改善への使い方の表示回数とクリック数で確かめ、ツールの順位だけで判断しないことが肝心です。

よくある質問

SEOポイズニングとフィッシングはどう違いますか？

フィッシングはメールやSMSで偽リンクを送りつけて誘導するのが典型ですが、SEOポイズニングは利用者が自分で検索してたどり着く点が違います。両者は排他的ではなく、SEOポイズニングの誘導先がフィッシングページであることも多くあります。

自社サイトがSEOポイズニングの踏み台にされていないか確認する方法は？

サーチコンソールのセキュリティの問題レポートに警告が出ていないかを確認し、site:検索で身に覚えのないページが自ドメインに現れていないかを点検します。あわせてCMSやプラグインの更新状況、管理画面の不審なログインを確認してください。

SEOポイズニングは検索連動型広告（リスティング）でも起きますか？

広告枠を悪用する手口は「マルバタイジング（不正広告）」と呼ばれ、厳密にはSEOポイズニングと区別されます。ただし目的は共通し、併用する攻撃者もいるため、広告枠・自然検索のどちらも警戒が必要です。

SEOポイズニングの被害に遭ったらどう対応すべきですか？

利用者側は、感染が疑われる端末をネットワークから隔離してマルウェアスキャンを行い、入力・保存した認証情報やカード情報を変更・利用停止します。偽のVPNサイトに認証情報を入力した場合は、VPNのログイン履歴も確認が必要です。サイト運営者側は、本記事の復旧手順に沿って不正ページを削除し、脆弱性を塞いだうえで審査を依頼します。