Bing検索結果を悪用する「BengalSEO」の手口が判明　マルウェア感染や偽サポート詐欺へ誘導

要点

• セキュリティ調査機関のDFIR Reportが、Microsoft Bingの検索結果を悪用するSEOポイズニング作戦「BengalSEO」の詳細を公表した。

• インド・ラジャスタン州のIT企業2社が関与し、少なくとも2015年から長期間にわたり活動を継続している。

• 大量のバックリンクやDOM構造の動的シャッフルなどの技術を用い、偽のおとりページを検索上位に表示させていた。

• 被害者をトラフィック配信システムで選別し、詐欺コールセンターへの誘導や独自マルウェア「MayaBot」の感染を実行させていた。

• サイバーセキュリティ調査機関のDFIR Reportは、検索エンジン最適化（SEO）を悪用してマルウェア配布やサポート詐欺を行う大規模キャンペーン「BengalSEO」の分析結果を公表した。この作戦はMicrosoft Bingの検索結果を標的とし、少なくとも2015年からインド・ラジャスタン州を拠点に継続して展開されているという。正規のIT事業者を装う組織が、高度なブラックハットSEOとトラフィック管理システムを組み合わせて運用している実態が明らかになった。

インドのIT事業者が関与する作戦の全容

DFIR Reportが2026年3月に発見し、8月下旬に詳細レポートを公開したBengalSEOは、金銭的利益を目的としたサイバー犯罪グループによって運営されている。報告によると、作戦を主導しているのは「WeConnect Solutions LLC（旧名：iConnect Soft Solutions LLC）」および「Garage2Global」というインド・ラジャスタン州に拠点を置く2つのITサービス事業者だという。

このうちGarage2Globalは、公式にはWebデザインやSEO、デジタルマーケティングを手掛ける企業を自称している。しかし調査の結果、同社がBengalSEOの詐欺基盤となる悪質なWebインフラの開発に直接関与している証拠が確認された。表向きは一般的なIT受託企業として活動しながら、裏では組織的な攻撃インフラの構築を担っていた実態が示されている。

検索順位を不正操作するブラックハット手法

BengalSEOの手口は、検索結果の上位に偽のおとりページ（ルアーページ）を潜り込ませるSEOポイズニングから始まる。攻撃者はMicrosoft Bingの検索結果を標的とし、日常的に検索される多様なサービスを装ったWebページを展開していた。

偽装対象は、動画配信サービスの有効化ポータルやサポート窓口、ウイルス対策ソフト、ゲームソフト、税務ツールのダウンロードサイトなど多岐にわたる。クレジットカードや医療保険カード、ギフトカードの有効化手続きを装うページも確認されている。

具体的な例として、セキュリティソフト「Bitdefender」のログイン手順（"bitdefender central how to login"）の検索をハイジャックした事例が挙げられている。技術文書ホスティングサービス「readthedocs[.]io」上の偽ページへ誘導し、巨大な「Get Started」ボタンをクリックさせてリダイレクトの連鎖へ引き込む構造だった。

検索順位を不正に引き上げるため、グループは複数のブラックハットSEO（検索エンジンの規約に違反して順位を操作する手法）を駆使していた。
一つはユーザー投稿型コンテンツ（UGC）の悪用による大量のバックリンク獲得である。フォーラムやコメント欄にスマートTVの設定手順を装ったスパム投稿を大量に行い、偽ページへのリンクを拡散していた。例えばテレビブランド「Vizio」の設定を装う偽ページ（GitHub Pages上）には、167の外部ドメインから2,000件以上のバックリンクが集められ、検索アルゴリズムを欺いていた。

さらに、JavaScriptを用いてHTML要素の配置を動的に並べ替える「DOMシャッフル（DOM Shuffling）」技術も採用していた。これにより、数百のドメインに配置された同一内容の偽ページが検索エンジンのクローラー（巡回プログラム）には別々のページに見えるよう偽装され、スパムフィルターによる検知を回避していたという。

トラフィック配信システムと独自マルウェア「MayaBot」

おとりページにアクセスした利用者は、トラフィック配信システム（TDS：アクセス元の条件に応じて転送先を振り分ける仕組み）へ送られる。TDSは複数のリダイレクトドメインを経由させつつ、利用者のブラウザ環境を識別（フィンガープリンティング）して適切な最終着地ページへ誘導する。この追跡基盤には、プライバシー重視の正規アクセス解析サービス「Matomo」が悪用されていた。

選別された利用者は、詐欺コールセンターへ電話をかけさせる偽サポート窓口、またはマルウェアの配布ページへ導かれる。マルウェア配布では、2022年から使われている独自マルウェア「MayaBot」が用いられていた。MayaBotは遠隔操作（C2）やシステム監視を行うほか、暗号資産マイナー「XMRig」を端末にダウンロードして実行させ、被害者の計算資源を無断で利用して利益を得ていた。

背景

SEOポイズニングは、検索エンジンに対する利用者の信頼を逆手に取るサイバー攻撃手法である。BengalSEOはWeb開発やSEOの専門技術を悪用し、正規ツールを隠れ蓑にしながら長期にわたり活動を継続していたとされる。