検索広告から偽サイトへ誘導される問題: ネットバンキング詐欺、偽通販、広告審査について

検索結果の上部に表示される広告。ここにでているものは、プラットフォームが審査したもの、広告として問題がないと審査された安全なサイトだと感じるのが自然でしょう。

しかし、検索広告が偽サイトへの入口として悪用された事例はあります。2014年2月には、京都銀行のインターネットバンキングを模した偽サイトへの誘導に、Yahoo! JAPANの検索連動型広告が使われた可能性が高いと報じられました。

偽サイトの問題は、ネットバンキングだけに限りません。正規の通販サイトを模倣し、商品代金、個人情報、クレジットカード情報を詐取しようとする偽通販サイトも、検索結果やインターネット広告を入口に。

この記事では、2014年から2015年に報じられた事例と現在の公的資料を基に、次の点を見ていきます。

• 検索広告が京都銀行の偽サイトへの誘導に使われた事例
• 偽通販サイトが検索結果や広告を利用する手口
• 検索広告と自然検索結果の違い
• 広告プラットフォームが公開している審査方法
• 利用者の注意力だけに頼らず、事業者側が備えるべきこと

2014年、検索広告から京都銀行の偽サイトへ誘導された事例

報道されていた内容

INTERNET Watchは2014年2月24日、京都銀行のインターネットバンキングを狙ったフィッシングサイトへの誘導に、ヤフーの検索連動型広告「スポンサードサーチ」が使われていたと報じました。

同記事によると、当時の経緯は次のように整理できます。

報道では、偽サイトによって暗証番号、パスワード、第二暗証番号などが詐取されたとされています。不正送金は3口座から合計5件、総額77万1,000円でした。このうち4件は資金が払い出される前に返戻されましたが、1件の50万円は払い出し済みだったと報じられています。

ヤフーは、偽サイトがスポンサードサーチの広告から移動するページだった可能性が高いと説明しました。広告が掲載されていた可能性のある期間は2月11日から18日までで、該当するとみられる広告アカウントは2月18日に停止。

検索広告への信頼が悪用された

この事例で重要なのは、偽サイトが作られただけではなく、検索結果に表示される広告が誘導経路になった点。

検索広告は、利用者が入力した検索語に関連して表示されます。銀行名を検索しているときに、その銀行名を含む広告が検索結果の目立つ位置に表示されれば、公式サイトへの案内だと思ってクリックする人がいても不思議ではありません。

当時、ヤフーは金融関連広告について、システムと人の目を組み合わせた審査を強化すると説明しました。この対応からも、広告文だけでなく、広告主の実体や移動先のページを確認する必要が認識されていたことが分かります。

ただし、審査があることと、不正な広告を完全に防げることは同じではありません。広告掲載前の審査に加えて、掲載後の変更や第三者からの指摘に対応する監視も必要になります。

偽通販サイトも検索結果や広告を入口にする

2014年にNHKが伝えた偽通販サイト

NHK NEWS WEBは2014年9月29日、「急増する偽の通販サイト」という記事を掲載しました。現在は通常のNHKサイトから到達しにくくなっていますが、Internet Archiveに保存された記事を確認できます。

保存版の記事では、偽通販サイトについて、次のような問題が取り上げられていました。

• 正規の通販サイトをコピーし、本物に似せている
• 通常より大幅に安い価格を表示している
• 代金を支払っても商品が届かないことがある
• 偽ブランド品が届くことがある
• 入力した個人情報やカード情報が悪用されるおそれがある
• 「格安」「激安」などの言葉を含む検索で、偽サイトが上位に表示される場合がある

ここで扱われているのは、検索広告だけではありません。検索エンジンの評価によって表示される自然検索結果も含め、検索結果そのものが偽通販サイトへの入口になる問題です。

楽天市場を装う偽サイトが2,500件以上確認された事例

ITmedia NEWSは2015年2月、楽天市場を装う偽サイトが2,500件以上確認されたと報じました。

報道によると、偽サイトは楽天市場のロゴやバナーを掲示し、正規の楽天市場や出店店舗に似た画面を表示していました。注文しようとすると、正規の登録フォームに似せたページへ移動し、氏名、住所、クレジットカード番号などを入力させる仕組みだったとされています。

誘導方法も一つではありませんでした。

• 商品名と「激安」「楽天」などの言葉を組み合わせた検索結果
• 正規の楽天市場から届いたように見せる偽装メール
• 正規サイトに似せたURL
• 本物に似せた会員登録・カード情報入力画面

この事例から分かるのは、偽サイトが一枚のページだけを似せるわけではないことです。検索結果での見え方から、メール、URL、入力フォームまで、一連の購入体験が模倣されます。

近年の相談でも、検索結果上部の広告が入口になっている

検索結果や広告から偽通販サイトへ誘導される問題は、2014年当時だけのものではありません。

国民生活センターは2023年1月に公表した資料で、SNSやインターネット上の広告から偽サイトへ誘導され、カード情報や金銭を詐取される手口を紹介しています。

同資料では、検索サイトの検索結果ページ上部に表示された広告を公式通販サイトだと思い込み、偽サイトで商品を注文してしまうケースを紹介し、自然検索結果として偽サイトが表示される場合にも注意を促しています。

広告枠と自然検索結果では、掲載される仕組みが異なります。ただし、利用者が検索画面上で両者を十分に見分けられなければ、どちらも偽サイトへの入口に。

検索広告と自然検索結果を同じものとして見ない

検索画面から偽サイトへ移動する経路を考えるときは、どこに表示されていたかを分けて把握する必要があります。

検索広告は、検索サービスが作成した公式案内ではありません。広告主が入稿した広告を、プラットフォームが審査して掲載する仕組み。

一方、自然検索結果も、安全性や公式性を保証する一覧ではありません。検索順位が高いことを、その企業やブランドの公式サイトである根拠にはできません。

利用者側では、検索順位だけで判断せず、公式サイトが案内しているドメインと一致するかを見る必要があります。ただし、この方法にも限界が。正規ドメインを知らない人や、スマートフォンの小さな画面でURLを見ている人に、正確な判別を求め続けるのは現実的ではありません。

広告プラットフォームはどのように審査しているか

LINEヤフーが公開している審査体制

LINEヤフーは、検索広告とディスプレイ広告について、広告、キーワード、画像、動画、移動先のWebサイトを、システムと目視で審査していると説明しています。

すでに掲載されている広告やWebサイトも審査対象です。掲載開始後も、広告素材や移動先が意図的に変更されていないかを確認するパトロール審査や、利用者などからの指摘に基づく審査を行うとしています。

公開されている基準では、広告の主体者が明確でないページ、広告内容と関連性が低いページ、虚偽・不当表示を含む広告などは掲載できません。模倣サイト、詐欺、なりすまし、不正プログラムへの対策も審査体制の一部として挙げられています。

Googleが禁止している不実表示

Google広告のポリシーでは、商品やサービス、事業者についての情報を偽る行為や、広告と移動先の内容を一致させない行為などを不実表示として扱っています。

また、システム通知や入力欄を模倣するなど、利用者が広告を操作していると分かりにくいデザイン、広告であることが明確に示されていない表示も認めていません。

こうした基準は重要です。ただし、不正を行う側も審査を通過する方法や、掲載後に移動先を変更する方法を探します。広告審査は、一度通過させれば終わる手続きではなく、継続的な監視を伴う運用として考える必要があります。

利用者の注意力だけでは防ぎ切れない

「URLを確認する」には前提知識が必要

偽サイトへの注意喚起では、URL、会社情報、日本語、支払方法などを確認するよう案内されます。これらは重要な確認項目です。

しかし、URLやドメインの構造を知らない人にとって、正規サイトとの違いを見分ける作業は簡単ではありません。正規ドメインの文字列を一部に含めた偽URLや、スマートフォンでは末尾まで表示されないURLもあります。

偽サイトの日本語や画面も、以前より自然になっています。見た目が粗雑であることを前提にすると、丁寧に作られた偽サイトを見逃す可能性が残ります。

買い物の途中に生まれる焦りが狙われる

利用者が冷静に確認できない場面も考えておきたいところです。

• 期間限定のセールが終了しそうになっている
• 在庫が残りわずかと表示されている
• 注文や決済に問題が起きたと思わせる通知が届く
• 配送状況を急いで確認したい
• 普段は使わない通販サイトで、必要な商品を探している

こうした場面では、知識がある人でも判断を急ぐことがあります。通販に不慣れな人へ細かな判別方法だけを渡しても、実際の画面で使えない場合があるのではないでしょうか。

判別方法に加えて、行動ルールを決める

利用者向けの案内では、偽サイトの特徴とともに、迷ったときの行動を短く示す方が実用的です。

• 銀行や通販サイトは、検索広告ではなく登録済みの公式アプリやブックマークから開く
• 暗証番号やカード情報を求められて不安を感じたら、入力を止める
• 家族や社内担当者へ相談できる状態を作る
• 検索結果から連絡先を探さず、カードや契約書に記載された窓口を使う

すべての利用者が偽サイトを正確に判別することを目標にするより、判別できないときに被害へ進まない手順を用意する方が現実的です。

EC事業者とWeb担当者が備えておきたいこと

自社名や商品名を使った広告を監視する

偽サイト被害では、消費者だけでなく、名称やロゴを使われた企業も信用を損ないます。自社が広告を出していなくても、自社名を使った広告が表示される可能性はあります。

Web担当者は、次の項目を定期的に確認しましょう。

• 社名、ブランド名、主力商品名の検索結果
• 自社名を含む検索広告の広告主名と移動先
• 正規サイトに似たドメイン
• SNS上で配信されている大幅値引き広告
• 利用者から寄せられた不審な広告やメールの情報

毎日すべてを確認するのが難しければ、検索する語句、確認頻度、記録方法、問題を見つけた場合の担当者を先に決めておきます。担当者の注意力だけでなく、継続できる作業として設計することが重要です。

偽サイト発見時の対応手順を準備する

偽サイトを発見してから連絡先を調べ始めると、対応が遅れます。少なくとも、次の対応先と社内判断者を整理しておきましょう。

被害後に参照できる公式案内を用意する

偽サイトに情報を入力した人は、返金方法、カードの停止方法、相談先を検索します。その際、広告や送客を目的とするページが検索結果に混じる点にも注意が必要です。

企業が公式サイトに被害対応ページを用意しておけば、被害者が不確かな情報へ移動する可能性を減らせます。案内には、次の内容を分けて記載するとよいでしょう。

• 確認されている偽サイトの特徴とURL
• 正規サイトのドメイン
• カード情報を入力した場合の対応
• IDやパスワードを入力した場合の対応
• 銀行振込や代金引換を利用した場合の相談先
• 自社の問い合わせ窓口

この案内は、被害発生時だけ公開するのではなく、検索で見つけやすい状態を保ち、状況が変わったら更新する必要があります。

まとめ

2014年の京都銀行偽サイトでは、検索連動型広告がフィッシングサイトへの誘導に使われた可能性が高いと報じられました。その後も、偽通販サイトが検索結果や広告を入口にする問題は続いています。

検索広告は、商品やサービスを探している人と事業者をつなぐ有用な仕組みです。一方で、検索画面に表示されることへの信頼が、不正な広告主に悪用される場合があります。

広告事業者による審査は欠かせません。ただし、審査だけで被害を完全に防ぐことは難しいでしょう。名称を使われる企業による監視、偽サイト発見時の対応、利用者への分かりやすい案内も必要です。

利用者に「気を付けてください」と伝えるだけでは足りません。迷ったときに入力を止められる行動ルールと、被害へ進みにくい仕組みを、広告事業者、EC事業者、金融機関がそれぞれ整えていく必要があります。

参考資料

• • INTERNET Watch「ヤフー、検索連動型広告に京都銀行の偽サイトへの誘導リンクを掲載」
  • NHK NEWS WEB「急増する偽の通販サイト」Internet Archive保存版
  • ITmedia NEWS「見た目はそっくり『楽天市場』の偽サイト2500件以上確認」
  • 国民生活センター「その通販サイト本物ですか！？“偽サイト”に警戒を！！」

• LINEヤフー for Business「Yahoo!広告の審査とは？」
• Google 広告ポリシー ヘルプ「不実表示」