SEOポイズニングとは、検索エンジンの仕組みを悪用して、ユーザーをマルウェア配布サイトやフィッシングサイトへ誘導する攻撃です。2026年には偽VPNや偽ソフトウェア、AI関連サービスなどを装う手口も確認されています。本記事では、SEOポイズニングの仕組みから最新事例、企業・個人が取るべき対策まで解説します。
SEOポイズニングとは？
SEOポイズニング（SEO Poisoning）とは、検索エンジンの検索順位を不正に操作し、ユーザーを悪意あるWebサイトへ誘導する攻撃手法です。
攻撃者は「ソフトウェア名」「業務用テンプレート」「VPN」「AIサービス」など、実際に検索されるキーワードを狙います。そして、検索結果に偽サイトを表示させ、マルウェアのダウンロードや認証情報の窃取、詐欺サイトへの誘導などにつなげます。
重要なのは、SEOポイズニングが単なる「怪しいサイトを作る攻撃」ではないことです。検索エンジン、正規ブランド、広告、オープンソースサービスなど、ユーザーが普段から信頼している仕組みを組み合わせて、偽サイトに信頼感を持たせる点に特徴があります。
なぜSEOポイズニングが危険なのか
「検索結果の上位なら安全」と考えてしまうことが、SEOポイズニングの大きなリスクです。
Googleはスパム対策を継続的に強化しており、検索結果から大量のスパムページを排除しています。一方で、攻撃者も検索アルゴリズムの変化に合わせて手法を変えており、検索順位の操作、正規サイトの侵害、広告の悪用などを組み合わせています。Google自身も、検索順位を操作するための大量生成コンテンツやクローキング、サイト評価の悪用などをスパムとして明示しています。
特に近年は、生成AIによって大量の自然な文章やWebサイトを短時間で作成しやすくなりました。Googleも「生成AIを使ったこと」自体を問題にするのではなく、検索順位の操作を目的として価値の低いページを大量生成する行為を「scaled content abuse」として扱っています。
つまり、AIは防御側だけでなく攻撃側のコンテンツ生成やソーシャルエンジニアリングにも利用されるようになっています。
SEOポイズニングの典型的な攻撃の流れ
攻撃は大きく次のように進みます。
まず攻撃者が、検索需要の高いキーワードを調査します。「無料VPN」「PDFテンプレート」「人気AIサービス」「動画変換ソフト」など、ユーザーが実際にソフトウェアやファイルを探している検索語は格好の標的です。
次に、偽サイトや侵害した正規サイトにコンテンツを用意し、キーワード、リンク、ページ構造などを操作します。場合によっては、検索エンジンには通常のコンテンツを見せ、実際の訪問者には別のページを表示する「クローキング」も使われます。
検索結果からユーザーがアクセスすると、偽のダウンロードページやログインページへ誘導します。そこでマルウェアを実行させたり、ID・パスワードを入力させたりして、最終的な被害につなげます。
2025～2026年に確認された新しい攻撃パターン
近年のSEOポイズニングでは、「検索結果→偽サイト→マルウェア」という単純な構造だけではありません。
Microsoftは2026年、Storm-2561が企業向けVPNソフトを検索しているユーザーを標的に、SEOポイズニングを利用して偽VPNクライアントへ誘導し、VPN認証情報を窃取するキャンペーンを報告しました。偽ソフトウェアはGitHub上のリポジトリなども経由して配布され、正規ソフトウェアらしさを高める工夫が確認されています。
またMicrosoftは、GootLoader関連の攻撃でも、侵害されたWordPressサイトを検索結果の上位に表示させ、法律・会計などの業務文書を探すユーザーをZIPファイルなどへ誘導するSEOポイズニングを確認しています。
さらに2025年には、偽のChatGPTやDeepSeekなどAI関連サービスを装った広告・検索結果からマルウェアへ誘導する事例も報告されました。Malwarebytesは、2025年に検索結果から偽のAIサービスや偽ソフトウェアへ誘導し、情報窃取型マルウェアなどを感染させるキャンペーンを複数確認しています。
2026年には、AI支援によるWebサイト作成サービスを悪用して有名ブランドの外観をほぼそのまま再現し、SEOや広告、コメントスパムによって偽サイトを拡散する事例も報告されています。
このように現在のSEOポイズニングでは、SEO・広告・AI・ブランドなりすまし・正規サービスの悪用が一体化しています。
SEOポイズニングによる主な被害
マルウェア感染
偽ソフトウェアやアップデートをダウンロードさせ、情報窃取型マルウェア、トロイの木馬、ランサムウェアなどを侵入させます。
Microsoftの2025年Digital Defense Reportでも、インフォスティーラーがマルバタイジングやSEOポイズニングを通じて配布され、認証情報やトークンの窃取につながっていると報告されています。
フィッシングと認証情報の窃取
銀行、EC、クラウドサービス、VPNなどのログイン画面を模倣し、IDやパスワードを入力させます。
企業ユーザーが標的になると、盗まれた認証情報が社内システムへの不正アクセスやアカウント乗っ取りの起点になる可能性があります。
ブランド毀損
企業名やサービス名で検索したユーザーが偽サイトへ誘導されると、直接的な金銭被害だけでなく、ブランドへの信頼低下や問い合わせ増加にもつながります。
SEOポイズニングを見抜くポイント
SEOポイズニング対策で重要なのは、検索結果を完全に信用しないことです。
まず確認したいのがURLです。公式サービスと似ていても、ドメイン名が微妙に異なる場合があります。
次に、ソフトウェアを探している場合は、検索結果から直接ダウンロードするのではなく、開発元の公式サイトや公式アプリストアから入手することが基本です。
また、「今すぐアップデートしてください」「セキュリティ確認のため、このコマンドを実行してください」といった強い緊急性を要求するページには注意が必要です。検索結果から誘導されたWebページ上で、ターミナルやPowerShellへのコマンド入力を求められた場合は、特に慎重に確認しましょう。
個人ユーザーができる対策
第一に、OS、ブラウザ、セキュリティソフトを最新状態に保ちます。
ChromeではGoogle Safe Browsingによって危険なサイトやダウンロードへの警告が表示されます。標準保護に加えて、より強い保護を提供する「Enhanced protection」も用意されています。
第二に、検索結果だけで正当性を判断しないことです。「公式」「無料」「最新版」などの文字が表示されていても、ドメインや提供元を確認しましょう。
第三に、検索広告と通常の検索結果を区別することも重要です。広告だから安全とは限らず、実際に悪意ある広告を経由して偽ソフトウェアへ誘導する事例が確認されています。
企業・Web管理者が取るべき対策
企業では、ユーザー教育だけでなく、Webサイト側の防御も必要です。
まず、CMSやプラグインを最新状態に保ち、不要なアカウントや管理権限を削減します。WordPressなどの正規サイトが侵害され、検索順位を悪用されるケースがあるためです。
次に、Google Search Consoleなどを利用して、自社サイトのインデックス状況や不審なページを監視します。見覚えのないページ、タイトル、リンクが大量に発生していないかを確認することも有効です。
さらに、Web改ざん検知、WAF、EDR、DNS監視などを組み合わせ、侵害の早期発見につなげます。
Google Searchにはスパム検出や手動対策の仕組みがあり、クローキングや大量生成コンテンツなどもポリシー違反として扱われています。自社サイトが侵害された場合は、原因となった脆弱性の修正と不正コンテンツの除去を行ったうえで、Search Consoleなどを通じて対応することが重要です。
AI時代に変わるSEOポイズニング
今後のSEOポイズニングを考えるうえで、AIは重要な要素になります。
攻撃者は生成AIを利用して大量のページ、広告文、偽レビュー、FAQ、サポート記事などを作成できます。また、AIによって実在企業に似たWebデザインや自然な文章を短時間で作成するハードルも下がっています。2026年のGoogle Threat Intelligence Groupの報告でも、攻撃者によるAI利用は単純な文章生成から、より自動化された攻撃ワークフローへ進んでいることが指摘されています。
一方、防御側でもAIを利用した不正コンテンツ検出やリアルタイム分析が進んでいます。Google Safe Browsingも危険なURLやダウンロードを継続的に分析し、ブラウザ上で警告する仕組みを提供しています。
今後は「AIで作られたサイトだから危険」という単純な判断ではなく、ドメイン、運営主体、コンテンツの信頼性、ダウンロード先、認証要求、サイトの挙動などを総合的に確認することが重要になります。
まとめ
SEOポイズニングは、検索エンジンの仕組みを悪用してユーザーをマルウェア、フィッシング、偽ソフトウェアなどへ誘導する攻撃です。
2025～2026年には、偽VPN、偽AIサービス、偽セキュリティソフト、侵害されたWordPressサイト、GitHubなどの正規サービスを組み合わせた攻撃が確認されています。
特に注意したいのは、「検索結果に出ている」「有名ブランドのロゴがある」「広告として表示されている」ことだけでは、安全性を保証できないという点です。
ユーザーは公式ドメインの確認、公式ストアの利用、ブラウザのセーフブラウジング機能の有効化を徹底しましょう。企業はそれに加えて、CMSの脆弱性管理、改ざん検知、検索結果監視、WAFやEDRなどを組み合わせることが重要です。
検索は便利な情報収集手段ですが、検索結果そのものも攻撃者が悪用する対象になっています。SEO対策とセキュリティ対策を別々に考えるのではなく、「検索からユーザーがどこへ誘導されるのか」まで含めてWebの安全性を管理することが、AI時代のSEOポイズニング対策につながります。
