SEO専門家のGoogleアカウントを盗むために使用された偽Semrush広告

新たなフィッシングキャンペーンが、Googleアカウントの認証情報を盗むことを目的とした悪質なSemrush Google広告でSEO専門家を標的にしている。

MalwarebytesのリサーチャーであるJerome SeguraとSEOストラテジストのElie Berrebyは、この脅威の主体は、新しい不正広告キャンペーンを作成するためのGoogle Adsアカウントを狙っていると考えています。

この種の「カスケード詐欺」は、1月にMalwarebytesが発見した、Googleサイト上でホストされる偽のGoogle広告がGoogle広告のアカウントを狙う同様の手口と同様に、最近、注目を集めています。

「その背後にいる犯罪者は、おそらく再編成され、より直接的ではないアプローチに切り替えたと考えられるが、それと同じくらい大きな被害をもたらす可能性がある」とMalwarebytesは説明する。

この最新のケースでは、サイバー犯罪者は、SEO、オンライン広告、コンテンツマーケティング、競合調査に使用される人気のSaaS（Software-as-a-Service）プラットフォームであるSemrushブランドを悪用しています。

Semrushは、デジタルマーケティング担当者、広告主、eコマース事業者、そしてフォーチュン500企業の40%を含む大企業に広く利用されています。

SemrushはGoogle AnalyticsやGoogle Search Consoleと統合されているため、顧客はしばしば、収益指標、マーケティング戦略、顧客行動のような機密性の高いビジネスデータを含む貴重なGoogleアカウントをリンクしている。

Berreby氏は、このキャンペーンの背後には、SaaSプラットフォームを専門に狙うブラジルの脅威グループが存在し、現在は特に巧妙な手法を採用していると語った。

「詐欺師たちの最終目標はGoogleアカウントだ。しかし、彼らの2番目に良い選択肢は、SaaSの認証情報です」とベレビーは説明した。

「企業のGoogleアカウントが過去にリンクされていた場合、Googleアカウント自体を危険にさらすことなく、Googleの機密データを流出させる可能性がある。

Semrushのキャンペーン

最新のキャンペーンでは、サイバー犯罪者はGoogle広告を使用し、ユーザーが関連する検索語を入力すると、悪意のあるSemrushの結果を宣伝します。

広告をクリックすると、ユーザーはSemrushのようなフィッシングサイトに誘導され、「semrush」ドメイン名が使用されますが、正規の会社（semrush.com）とは異なるトップレベルドメインが使用されます。

このキャンペーンで使用されている悪質なドメインには、”semrush[.]click”、”semrush[.]tech”、”auth.seem-rush[.]com”、”semrush-pro[.]co”、”sem-rushh[.]com “などがあります。

これらのドメインのほとんどはオンライン状態を維持しているが、すべてのドメインがフィッシングページを読み込むわけではないことから、脅威者は地理的な場所やその他の基準に基づいてターゲットをフィルタリングしていることが示唆される。

偽のログインページはSemrushのインターフェイスを模倣していますが、標準的なサインインオプションを提供しておらず、訪問者は「Googleでログイン」のみでログインするよう強制されます。

ユーザーがGoogleのログイン情報を入力すると、その情報は攻撃者に直接送信されます。

多くのSemrushアカウントはGoogle Analytics (GA)やGoogle Search Console (GSC)と統合されているため、脅威者はSemrush自体を侵害することなく、機密性の高いビジネスデータにアクセスする可能性があります。

悪質なグーグル広告が後を絶たず、ハイテク大手がこの問題に断固として取り組んでいないことについて、ベレビー氏は、これを阻止するにはより高いレベルでの大きな決断が必要だと説明した。

「Google広告を悪意のある目的で使用することによるサイバーセキュリティ上のリスクについて、過去数年間、Googleの担当者と何度も話し合いました。

「善意ある勤勉な人々の答えはいつも同じだった。

「問題なのは、私たちがグーグル社で話をする人たちは、意思決定者ではないため、根本的な問題に対処できないということです。彼らは個人レベルで熱心にベストを尽くしているが、それだけでは十分ではないし、率直に言って、最先端の機械学習ソリューションを使用するグーグルのような巨大テック企業にとって、それは受け入れがたいことなのだ」。

それでもSEOの専門家は、グーグルが報告に対して迅速に対応し、最新のキャンペーンに関連する悪質な広告を削除したことを称賛した。

Google Adsの詐欺に引っかからないようにするには、プロモーションやスポンサーの結果をクリックしないこと、頻繁にアクセスするページをブックマークして直接アクセスすること、そしてログインする前に必ず公式ドメインにたどり着いたかどうかを再確認することだ。

ログイン・ボックスの入力にパスワード・マネージャーを使用することも、認証情報が保存されたドメインでデータが入力されるため、役立ちます。

.ia_ad { background-color：#width: 95%; max-width: 800px; margin: 15px auto; border-radius: 8px; border：1px solid #d6ddee; display: flex; align-items: stretch; padding: 0; overflow: hidden; }：0; overflow: hidden; } .ia_lef { flex: 1; max-width: 200px; height: auto; display: flex; align-items: stretch; } .ia_lef a { display: flex; width: 100%; height: 100%; } .ia_lef a img { width: 100%; height: 100%; object-fit: cover; border-radius: 8px 0 0 8px; margin: 0; display: block; } .ia_rig { flex: 2; padding：display: flex; flex-direction: column; justify-content: center; } .ia_rig h2 { font-size: 17px !important; font-weight: 700; color：#line-height: 1.4; font-family：margin: 0 0 14px 0; } .ia_rig p { font-weight: bold; font-size: 14px; margin: 0 0 clamp(6px, 2vw, 14px) 0; } .ia_button { background-color：#border：1px solid #3b59aa; color: black; text-align: center; text-decoration: none; border-radius: 8px; display: inline-block; font-size: 16px; font-weight: bold; cursor: pointer; padding：10px 20px; width: fit-content; } .ia_button a { text-decoration: none; color: inherit; display: block; } @media (max-width: 600px) { .ia_ad { flex-direction: column; align-items: center; text-align: center; } .ia_lef { max-width: 100%; } .ia_lef a img { border-radius: 8px 8px 0 0; } .ia_rig { padding：15px; width: 100%; } .ia_button { width: 100%; } .

攻撃の93%を支えるMITRE ATT^&CK©テクニックのトップ10

1,400万件の悪意のあるアクションの分析に基づき、攻撃の93%を支えるMITRE ATT&CKテクニックのトップ10とその防御方法をご覧ください。

レッドレポート2025を読む