検索エンジンの結果を汚染する「SEOポイズニング」とマルウェア感染
【背景と概要】
従業員が業務で必要なソフトウェア（PDF閲覧ソフト、リモートデスクトップツール、画像編集ソフト等）や業務マニュアル、テンプレート書類をインターネットで検索する際、検索エンジンの上位結果を悪用して悪意あるWebサイトへ誘導する「SEOポイズニング（SEO Poisoning）」攻撃が多発しています。
従来のフィッシングメールや悪質な広告とは異なり、ユーザー自らが「必要があって検索した結果」を信頼してアクセスする心理的な隙を突くため、組織内での警戒をすり抜けやすい攻撃手法として注視されています。
【SEOポイズニングの実行プロセスと手口】
攻撃者は検索エンジンのランキングアルゴリズムの仕組みを悪用します。
- 検索キーワードの分析と偽サイトの構築
攻撃者は「（特定の人気ソフト名） 無料 ダウンロード」「（業務システム名） ログイン 画面」「請求書 テンプレート xlsx」など、ビジネスで頻繁に検索されるキーワードを特定します。その後、そのキーワードに最適化された精巧な偽Webサイトを開設します。
- 検索順位の不正な押し上げ（ブラックハットSEO）
不正に侵入した多数のWebサイト（WordPressサイト等）から偽サイトへリンクを張ったり、自動化ツールを用いてアクセス数を水増しすることで、GoogleやBingなどの検索結果の最上位（1〜3位）や「強調スニペット」に偽サイトを表示させます。
- トロイの木馬型マルウェアのダウンロード誘導
偽サイトを訪れたユーザーが「ダウンロード」ボタンを押すと、正規ソフトを装ったZIPファイルやInstaller（`.exe` / `.msi`）が配布されます。これを実行すると、バックグラウンドでインフォスティーラー（認証情報窃取ツール）や遠隔操作ツール（RAT）がインストールされます。
【組織における被害と構造的リスク】
従業員自身が「必要なツールを入手した」と認識しているため、端末がマルウェアに感染しても本人が異変に気づきにくく、管理者への報告が遅れる傾向があります。結果として、盗まれた認証情報を使った社内網への二次侵入が静かに進行します。
【SEOポイズニングを防ぐ防衛アプローチ】
検索結果を過信させないシステム制御とダウンロード運用の制限が必要です。
- 一般ユーザー端末の「ソフトウェアインストール権限」の無効化
PCのローカル管理者権限（Local Admin）を剥奪し、従業員がWebからダウンロードした実行ファイル（`.exe` / `.msi`）を勝手にインストールできない権限設計を徹底します。
- 社内アプリストア（セルフサービスポータル）の準備
業務に必要な標準ツール（PDFリーダー、圧縮解凍ソフト、ブラウザ等）はIT部門が検証済みのものを社内配布ツール（IntuneやJamf等）経由で提供し、従業員個人がWeb検索から入手する必要のない環境を構築します。
- Webフィルタリングおよびアンチウイルス（EDR）の全系適用
未評価のドメインや新規開設された不審なドメインへのアクセスをリアルタイムで遮断するWebプロキシ（SWG）および、ダウンロードされたファイルの挙動を監視するEDRを常時稼働させます。