サイバーセキュリティ対策課は7月24日、SNS型投資詐欺グループがWeb検索の仕組みを悪用し、検索結果を偽装する手口を確認したとして、公式Xで「検索結果のみを過信しないよう注意しましょう」と呼びかけた。
検索結果に「詐欺でない」と表示させる手口
確認された手口では、被害者が詐欺グループに誘導されたSNSグループやWebサイトの名称を検索すると、検索結果に「○○は詐欺ではない」「○○は信頼できる」「○○で儲かりました」といった肯定的な情報が並ぶという。検索結果をもとにしたAI要約でも「○○は詐欺ではありません」と表示され、被害者に詐欺でないと誤認させる狙いがあるとみられる。
SEOポイズニングの一種「サイト内検索スパム」
対策課は今回の手口で検索結果を量産した具体的な方法を明らかにしていない。一方、検索エンジンの仕組みを悪用し、不正確な情報を検索結果で目立たせる手法は「SEOポイズニング」などと呼ばれ、その一種に「サイト内検索スパム」がある。
SEOコンサルティングを行うJADEは、2023年に公開したブログで、同スパムの手口を解説している。攻撃者が企業などのサイト内検索に「○○は詐欺ではない」といった文言を入力し、生成された検索結果ページのリンクを外部サイトに設置。検索エンジンがそのページを発見して登録すると、企業のドメインとともに、攻撃者が入力した文言がWeb検索の結果に表示される場合があるという。このため、企業などの正規ドメインとともに、サイトの運営者とは無関係な文言が検索結果に表示され、あたかも企業側がその情報を掲載しているように見える可能性があるという。今回確認された手口も、こうして偽装された検索結果をAIが参照し、肯定的な情報として要約した可能性が考えられる。
関連する注意喚起
関連記事として、KDDIをかたるフィッシングメールや、生成AIを使った偽のチケット販売サイト・ライブ配信サイトへの注意喚起、偽広告対策の総務省の取り組みなどが紹介されている。
