不正トラフィック中継「Help TDS」の背後にロシア系組織　2万超のドメインで偽サポート詐欺を展開

要点

• 長年活動するトラフィック配信システム「Help TDS」が、ロシア語圏のアフィリエイトプログラム「Hotejka」と結びついていることがセキュリティ調査で判明した。

• 攻撃者は改ざんサイトから訪問者を誘導し、偽の警告画面と遠隔操作ツールを用いた悪質なテクニカルサポート詐欺を展開している。

• 過去には悪質なWordPressプラグインを通じて認証情報を窃取し、別のサイバー犯罪組織へトラフィックを引き渡していたことも確認されている。

• 2018年に摘発された組織「ROI777」のインフラや制御ドメインを引き継いだリブランドである可能性が高い。

• 長年活動を続けている悪質なトラフィック配信システム「Help TDS」が、ロシア語圏のアフィリエイト組織「Hotejka」によって運用されている実態が明らかになった。米セキュリティ企業のInfobloxが2026年10月15日に共有した調査レポートなどで報告されたもので、2万件を超えるCloudflare Pagesドメインが悪用され、大規模なテクニカルサポート詐欺への誘導基盤として機能しているという。

遠隔操作ツールの導入を迫る偽警告の手口

Help TDS（Traffic Distribution System：訪問者の環境や属性に応じて接続先を自動で振り分ける仕組み）は、少なくとも2017年から活動が確認されている。攻撃者はPHPコードのテンプレートをアフィリエイト参加者に提供し、改ざんされたウェブサイトにそれを埋め込むことで、一般の閲覧者をテクニカルサポート詐欺のページへと送り込んできた。

誘導先のウェブサイトでは、ブラウザの全画面表示機能やページ離脱を防ぐ技術が悪用され、正規の警告を装った偽の「Windowsセキュリティアラート」が表示される。画面上には問題を解決するためのサポート窓口と称して電話番号が提示されており、利用者が自発的に連絡するよう仕向ける仕掛けとなっている。

Infobloxの報告によると、この手口は単なるクレジットカード情報の詐欺にとどまらない。コールセンターに誘導された利用者はソーシャルエンジニアリングによって言いくるめられ、遠隔操作用のリモートデスクトップツールを端末に導入させられる。攻撃者はシステムに元々備わっている正規ツールを悪用して侵入を維持し、被害者を繰り返し標的にできる状態を作り出すという。

WordPress改ざんとサイバー犯罪組織間の連携

Help TDSの手口の変遷については、米GoDaddyが2025年8月に実施した調査でも言及されていた。当時の報告では、攻撃者が「woocommerce_inputs」と名付けられた不正なWordPressプラグインを数千件のサイトに設置していたことが確認されている。このプラグインは管理者の認証情報を窃取するだけでなく、C2サーバー（攻撃者が不正プログラムを制御するためのサーバー）からURLを取得して不正な転送を実行する機能を備えていた。サイトへのコード注入は、Hotejkaに参加するアフィリエイトによって行われていたとされる。

さらに、転送チェーンの追跡調査によって、Help TDSがサイバー犯罪組織「VexTrio Viper」へトラフィックを直接引き渡していた実態も判明している。VexTrio Viperはアフィリエイト網を通じて詐欺サイト、スパイウェア、アドウェアなどへのアクセスを仲介する事業者であり、犯罪組織同士が連携してアクセスを売買していた構図が浮き彫りとなっている。

過去の大規模不正組織「ROI777」との連続性

今回の調査では、Hotejkaがかつて活動していたトラフィック収益化組織「ROI777」の後継組織である可能性も指摘された。ROI777は2018年6月、Guardicore Labs（現Akamai）によって「Operation Prowli」と呼ばれる作戦への関与を暴かれた組織である。

当時のOperation Prowliでは、脆弱なサーバーにマルウェアを感染させて暗号資産のマイニングを行わせると同時に、WordPressなどのCMS（コンテンツ管理システム）を改ざんしてトラフィックの不正転送を行っていた。ROI777は攻撃者が集めたアクセスを購入し、偽サービスや悪質な拡張機能の配布先へと転送して利益を得ていたとされる。

ROI777は2018年3月にサーバーのデータが外部に流出し、利用者のTelegramアカウントや展開されていた作戦の詳細が暴露された。この時期に運用されていた「Disposable TDS」がHelp TDSの前身とみられており、データ流出を契機にHotejkaへの再編が行われたと考えられている。GoDaddyの追跡調査でも、2018年から2020年にかけて転送先URLの取得に用いられたC2ドメインの1つが「roi777[.]com」であったことが確認されており、インフラ面の継続性が裏付けられている。

属性を分析して標的を振り分ける中継インフラ

Hotejkaのアフィリエイトには、スパム配信者からウェブサイトへの侵入者まで多様な犯罪者が参加しているとされる。参加者はHotejkaから提供された専用URLを用いて、改ざんサイトなどの訪問者をTDSへと送り込む。

TDSは中継地点として機能し、アクセスしてきた閲覧者の位置情報や端末情報、IPアドレスの評判、自動巡回プログラムの有無などをブラウザフィンガープリント技術によって分析する。条件を満たした利用者のアクセスのみを選別し、詐欺サイトやブラウザの操作を制限するページ、あるいはマルウェアの配布場所へと動的に振り分けている。このTDS基盤には、商用トラフィック追跡ツールの「Keitaro」が悪用されているとみられている。