ニュース

2010年3月8日

「検索結果はPDF、クリックすると危険なHTML」、検索サイト悪用の新攻撃

「SEOポイズニング」に新手法、たった3時間でリンク先を変更

勝村　幸博＝日経パソコン

Tweet

（執筆時の情報に基づいており、現在では異なる場合があります）

図1　今回報告された新攻撃（フィンランドエフセキュアの情報から引用。以下同じ）。攻撃者はまず、無害のPDFファイル（doc.pdf）を公開していた

画像のクリックで拡大表示

図2　Joe Corvo氏の写真などが貼られた無害のPDFファイル（doc.pdf）

画像のクリックで拡大表示

図3　およそ3時間後に表示された検索結果の表示。依然、リンク先はPDFファイルだと表示されている

画像のクリックで拡大表示

図4　3時間後のリンクをクリックすると、悪質なFlashファイルが貼られたHTMLファイル（Webページ）が表示された

画像のクリックで拡大表示

　フィンランドのセキュリティ企業エフセキュアは2010年3月5日、検索サイトを悪用した新たな攻撃を確認したとして注意を呼びかけた。検索サイトの結果から、ユーザーがPDFファイルだと思ってクリックすると、悪質なWebページ（HTMLファイル）に誘導されるという。

　SEO（検索エンジン最適化）を駆使して、人気のあるキーワードで検索した際に、キーワードとは全く無関係の悪質サイトを上位に表示させる手口はよく使われる。こういった手口は、「SEOポイズニング」などと呼ばれる。今回報告されたのは、SEOポイズニングの“応用例”。

　攻撃者はまず、人気のキーワードにちなんだPDFファイルを公開する。同社が確認した事例では、有名なアイスホッケー選手であるJoe Corvo氏の名前が悪用されていた（図1）。Joe Corvo氏にちなんだ無害のPDFファイルを公開し、同氏の名前で検索すると、検索結果にリンクが表示されるようにしていた（図2）。

　検索サイトに登録された後、攻撃者はリンク先のファイルを変更。そのURLにアクセスすると、無害のPDFファイルではなく、HTMLファイルが表示されるようにした。検索結果の表示には「PDF」と記載されたままなので、PDFファイルだと思ってクリックすると、HTMLファイルが表示されることになる（図3）。

　そのHTMLファイルには悪質なFlashファイルが貼られているため、古いFLASH PLAYERをインストールしている環境では、偽ソフト（セキュリティソフトなどに見せかけて料金をだましとろうとする詐欺的なソフトウエア）を勝手にインストールされる恐れがある（図4）。

　同社の調査では、無害のPDFファイルを確認した2～3時間後には、リンク先が悪質なHTMLファイルになっていたという。また、そのHTMLファイルに記載されていたリンク先も、最初はPDFファイルだったものの、数時間後には、悪質なFlashファイルを貼ったHTMLファイルに変化したとしている。