Into the Dark: Unveiling Internal Site Search Abused for Black Hat SEO
闇の中へ——ブラックハットSEOに悪用される内部サイト検索の実態解明
Yunyi Zhang、Mingxuan Liu、Baojun Liu、Yiming Zhang、Haixin Duan、Min Zhang、Hui Jiang、Yanzhe Li、Fan Shi
はじめに
2026年7月17日、警視庁は投資詐欺グループに関するある新手口について注意を呼びかけました。詐欺グループの名前や、実際の詐欺で使われた「高リターン創出計画」のような単語をインターネットで検索すると、「詐欺ではありません」「信頼できます」といった肯定的な内容が検索結果やAIによる要約に表示されるというものです。これは、勧誘された人がネットで裏取りをすることを見越して検索結果そのものを“汚染”する手口とみられており、民間企業や官公庁の公式サイトが持つ「サイト内検索」機能が悪用されていたことが分かっています。この手口を、オンライン・セキュリティの分野ではISAP（Internal site Search Abuse Promotion／内部サイト検索悪用プロモーション）といいます。
中国国防科技大学の Yunyi Zhang 先生、清華大学・中関村研究院の Mingxuan Liu 先生、Baojun Liu 先生らによる論文 “Into the Dark: Unveiling Internal Site Search Abused for Black Hat SEO” は、検索エンジン最大手Baiduと共同で、この手口を体系的に解明した研究です。今回の警視庁の発表内容は、この論文が3年前から警鐘を鳴らしていた問題そのものだといえます。本記事では、この論文の内容を通じて、投資詐欺グループがなぜ公式サイトの検索窓を悪用できるのか、その仕組みと社会的な意味を解説します。
論文の要約
国防科技大学のYunyi Zhang先生ら（清華大学、中関村研究所、Baidu社の研究者との共同チーム）による論文 “Into the Dark: Unveiling Internal Site Search Abused for Black Hat SEO” は、企業や大学、官公庁など信頼性の高いWebサイトが備える「サイト内検索」機能が、検索エンジンの検索結果を汚染する目的で悪用されている実態を、検索エンジンBaiduのデータをもとに世界で初めて定量的に明らかにした研究です。研究チームは軽量な検知システムを開発し、5か月間で10億件を超えるURLを解析、10,209サイトから322万件を超える悪用URLを検出しました。被害が最も多かったのはアダルト・ギャンブル業界（全体の77.44%）ですが、投資詐欺のような新興業種にも同種の手口が広がりつつあることが示唆されています。
研究方法
研究チームはまず、Baiduのセキュリティ部門が長年蓄積してきた「悪用済みサイトのデータベース」から、実際に検索結果を汚染していたURL（論文では「リフレクションURL」と呼びます）と、通常の正常な検索URLをそれぞれ約2万件ずつ収集し、正解データセットを作成しました。
そのうえで、この正解データを分析して見えてきた3つの特徴から、効率的な検知手法を設計しています。
- 特徴1：悪用に使われる「拡散用サイト」には、外部への大量のリンク（悪用URLへのリンク）と、多様な宣伝キーワードが集中している
- 特徴2：宣伝目的で作られた検索キーワードは、文字数がおおむね14〜108文字という一定の範囲に収まる（宣伝内容を伝えるのに十分な長さが必要なため）
- 特徴3：宣伝に使われるキーワードは日々変化しても、その裏にある「宣伝したい相手（連絡先やURL）」は変わらない
この3つの特徴をもとに、まず単純な条件（外部リンク数やキーワードの文字数など）で明らかに無関係なURLをふるい落とす「URLスクリーナー」を通し、残ったごく少数のURLだけをAI言語モデル（BERT）で詳しく意味解析する、という2段構えの「漏斗（じょうご）型」の仕組みを構築しました。この設計により、1日あたり6,000万件という膨大な検索ログを、わずか2時間で処理できる実用的なシステムを実現しています。
加えて、Webサイトの運営者が自分のサイトに危険がないかを事前にチェックできる「ISAP Website Finder」というツールも独自に開発し、Tranco上位1万サイト、教育機関（.edu）、政府機関（.gov）ドメインを対象に、実際にどれくらいのサイトが悪用可能な状態にあるかを能動的に調査しています。
この研究でわかったこと
なぜ公式サイトの検索窓が悪用されるのか
多くのWebサイトのサイト内検索は、検索してもヒットしない場合に「〇〇に一致する情報は見つかりませんでした」というページを表示します。この時、検索したキーワードがそのままページのURLやタイトルに反映されてしまう実装になっているサイトが少なくありません。悪意ある業者はここに目をつけ、「マカオ サンシティ」のような人気の高い単語と、宣伝したい違法サイトの名前を組み合わせた文字列を検索キーワードとして大量に送り込みます。すると、実在しない検索結果ページであるにもかかわらず、宣伝文句を含んだ新しいURLとページが自動生成されてしまうのです。
拡散の仕組み
生成されたURLだけでは検索エンジンに登録されません。業者はこれを「ブログサイト」や大量のリンクを集めた“リンク集めサイト”に埋め込み、検索エンジンのクローラー（自動巡回プログラム）に発見・登録させます。登録されると、そのURLは大学や政府機関など信頼度の高いドメイン名を持つため、検索エンジン上で上位に表示されやすくなります。研究チームは、この手口によって作られたURLが、わずか4日間で少なくとも600万回閲覧されていたと推計しています。
被害の広がり
論文では、世界的に著名なTranco上位1万サイトのうち11.76%、教育機関ドメインの24.59%、政府機関ドメインの14.10%が、この手口に悪用されうる状態にあったことが示されています。研究チームが確認した被害サイトには、大学の公式サイトや政府機関のサイトも含まれていました。また、Baiduだけでなく、GoogleやBingでも同様の手口が確認されており、特定の検索エンジンに限らない、構造的な脆弱性であることが示されています。
この論文の社会への貢献
今回の警視庁の注意喚起にある「詐欺グループ名を検索すると『詐欺ではありません』と表示される」という現象は、まさにこの論文が明らかにした仕組みと一致します。宣伝したい対象（詐欺グループや投資詐欺サイト）を、信頼度の高い公式サイトのサイト内検索経由で拡散し、検索結果やAIによる要約に紛れ込ませる——これは、アダルトやギャンブルの宣伝で長年使われてきた手口が、投資詐欺という新しい分野に転用された事例だと考えられます。
この研究の意義は、いくつかの立場の読者にとってそれぞれ異なる形で重要です。
行政・警察関係者にとって：この手口は特定の犯罪グループに固有のものではなく、検索エンジンとサイト内検索の実装上の隙を突く、再現性の高い攻撃パターンであることが分かります。今後も別の犯罪グループが同じ手口を使う可能性が高く、継続的な監視の枠組みが必要であることを示唆しています。
Webサイト運営者にとって：自社サイトが意図せず詐欺の“片棒”を担いでしまうリスクがあるという点は見過ごせません。論文では、検索結果が見つからない場合に検索キーワードをURLへ含めない、該当ページにnoindexタグを設定するなど、比較的簡単な技術対策で防げることも示されています。心当たりのあるサイト運営者は、自社の検索機能の実装を一度点検する価値があるでしょう。
一般の利用者にとって：もっとも大切な教訓は、「検索結果の上位に出てくる」「公式サイトのURLに含まれている」という見た目の信頼性だけで、その内容が正しいとは限らないということです。警視庁も「安易に検索結果を信じないでほしい」と呼びかけていますが、これは検索する側を責めるためのものではなく、検索結果の見た目の信頼性そのものが技術的に操作されうるという、これまであまり知られていなかった事実を踏まえての注意です。投資の勧誘を受けた際に、相手の言うことだけでなく、あわせて金融庁の登録業者一覧を確認したり、家族や警察相談専用電話（#9110）に相談したりするなど、複数の手段で確認することが有効です。
用語解説
ISAP（Internal site Search Abuse Promotion）：企業や大学、官公庁などが備える「サイト内検索」機能を悪用し、検索してもヒットしない結果ページに宣伝用の文字列を紛れ込ませることで、検索エンジンの検索結果を汚染するブラックハットSEO（後述）の手法。本記事および論文ではこの名称で統一しています。
ブラックハットSEO：検索エンジンの評価基準の裏をかき、不正な手段で検索順位を意図的に引き上げようとする手法の総称。宣伝内容が虚偽・違法である場合が多く、通常のSEO（検索エンジン最適化）とは区別されます。
リフレクションURL（reflection URL）：サイト内検索で存在しない検索キーワードを送信した際に、そのキーワードを含んだ形で自動生成されてしまう新しいURL。論文内では「ISAP URL」とも呼ばれます。
拡散用サイト（distribution website）：リフレクションURLへのリンクを大量に埋め込み、検索エンジンのクローラーに発見・登録させるための踏み台となるサイト。ブログサービスや、業者が自ら量産する「リンク集めサイト（スパイダープール）」などが該当します。
クローラー：検索エンジンがWeb上のページを自動的に巡回し、検索結果に登録するためのプログラム。
BERT：文章の意味を理解するために設計された自然言語処理AIモデルの一種。本論文では、宣伝目的の検索キーワードと通常の検索キーワードを見分けるために使われています。
| タイトル | Into the Dark: Unveiling Internal Site Search Abused for Black Hat SEO （闇の中へ——ブラックハットSEOに悪用される内部サイト検索の実態解明） |
| 論文の種類 | カンファレンス論文（査読付き） |
| 論文の分野 | 情報セキュリティ、Webセキュリティ、検索エンジン工学 |
| 著者 | Yunyi Zhang（国防科技大学／清華大学）、Mingxuan Liu（中関村研究院）、Baojun Liu（清華大学／中関村研究院）、Yiming Zhang（清華大学）、Haixin Duan（清華大学／中関村研究院）、Min Zhang（国防科技大学）、Hui Jiang（清華大学／Baidu社）、Yanzhe Li（Baidu社）、Fan Shi（国防科技大学） |
| 論文誌名・発行者 | USENIX Association（第33回USENIX Security Symposium） |
| 発行日・巻数・ページ | 2024年8月14日〜16日開催、Proceedings of the 33rd |
| 原著論文の言語 | 英語 |
| URL | https://www.usenix.org/conference/usenixsecurity24/presentation/zhang-yunyi-dark |
| Cite | Zhang, Y., Liu, M., Liu, B., Zhang, Y., Duan, H., Zhang, M., Jiang, H., Li, Y., & Shi, F. (2024). Into the dark: Unveiling internal site search abused for black hat SEO. In Proceedings of the 33rd USENIX Security Symposium (pp. 1561–1578). USENIX Association. |
コメント