医療サイトを乗っ取り「賭博サイト」へ 攻撃者が狙ったGoogle検索の“信用”：日本企業が今後も標的に？

医療機関のWebサイトを開いたのに、裏では違法賭博サイトに誘導される。しかも、その仕掛けは誰にでも見えるわけではなかった。Webシェル侵入やGoogle Search Consoleの所有権奪取、偽サイト構築へと連なる攻撃。その裏側をフォレンジック解析で追る。

[＠IT]

　医療系スタートアップ企業Medi Faceは2026年8月14日、医療法人鳳應会グループで発生したWebインフラを狙ったサイバー攻撃について、デジタルフォレンジック解析と証拠保全を完了したと発表した。同攻撃は2026年8月12日午後7時33分27秒に検知され、その後も断続的に続いているという。

　同社によると、攻撃はPHP製Webシェルの直接起動を起点に複数の段階に展開。「Google Search Console」（GSC）の所有権を奪取した他、「Cloudflare Pages」に偽のWebサイトを構築し、正規の医療機関サイトへのアクセスを違法賭博サイトへの誘導に悪用したとされる。

　特徴的なのは、アクセス元の国やIPアドレス、端末などに応じて表示内容を変えるクローキングが使われていた点だ。患者には医療機関の正規のWebサイトに見える一方、特定の条件では別のコンテンツを表示することで、攻撃の発覚や追跡をかわそうとした可能性がある。

　Medi Faceは、今回の攻撃について、無差別な脆弱（ぜいじゃく）性スキャンや金銭目的のランサムウェア攻撃とは異なり、医療機関のドメインが持つ検索上の評価や信用を悪用することを狙ったものと分析している。

表示ページを出し分けてかく乱　今後も日本企業が標的になるリスク

　攻撃では「fgh.php」「yomanx498.php」などのPHPファイルがWebシェルやバックドアとして利用されたとみられる。Medi Faceによると、攻撃者はインドネシアなど複数の海外IPアドレスを経由してWebインフラに侵入。その後、GSCの所有権を奪取し、検索エンジンで医療機関のドメインが持つ評価を悪用するための環境を構築したという。

　さらに、Cloudflare Pagesの無料サービスを利用し、「medi-face」や「fraise-clinic」の名称を掲げた偽のWebサイトを作成。AMP形式のページも確認されたという。

　医療・健康に関する情報は、Googleが「Your Money or Your Life」（YMYL）と位置付ける分野の一つだ。検索結果において情報の信頼性などが特に重要となる領域である。Medi Faceは、攻撃者がこうした医療機関のドメインが持つ検索上の信用を、違法サイトへの誘導に利用しようとした可能性があると分析している。

　攻撃者が実際に設置した仕組みでは、医療情報を検索してWebサイトを訪れたユーザーを違法賭博サイトに誘導する動作が確認されたという。

　ただし誘導先は一律ではなかった。Medi Faceの解析によると、インドネシアのモバイル端末からアクセスした場合には賭博サイトを表示する一方、日本のIPアドレスやPCからのアクセスでは、無害な転送ループに送るなど、アクセス条件によって表示内容を変えていた。

　こうしたクローキングにより、一般ユーザーには攻撃の目的に沿ったコンテンツを見せながら、捜査機関やセキュリティ研究者などからのアクセスには異なるページを返していた可能性がある。

　Medi Faceは今回確認した攻撃基盤について、複数のサーバや偽のWebサイト、クローキング機構などからなる5段階の構造を確認したとしている。クローキングエンジンについてもコードを解析し、IoC（侵害の痕跡）などとともに技術資料として公開した。

削除されたWebシェルと22万行超のログから攻撃者を追跡

　攻撃者は侵入に利用したとみられるWebシェルやバックドアファイルを削除していた。Medi Faceはこうした削除について、痕跡を消して侵入経路や活動内容の特定を困難にする意図があった可能性があると分析している。

　同社の法務・セキュリティ担当者は、削除されたファイルのキャッシュ断片やファイルシステムのメタデータ、タイムスタンプなどを調査。さらに、22万3701行に及ぶサーバアクセスログを解析し、攻撃者の活動を追跡したという。

　接続経路についても、IPアドレスや認証情報などの関連情報を調査。その結果、インドネシアなどを経由するインフラの先に、東京都内に割り当てられたIPアドレスからの接続を確認したとしている。

　ただし、IPアドレスの所在地情報だけで実際の利用者や攻撃者個人を特定できるわけではない。Medi Faceは、この接続元が攻撃の実質的な主導者とみられる人物に関係すると分析しているが、現時点では同社側の分析として捉える必要がある。

　同社は、攻撃に利用されたインフラや活動状況などから、攻撃準備が長期間にわたって進められていた可能性も指摘している。事前の情報収集や偽サイトの構築などを踏まえ、準備期間は120日以上に及んだ可能性があるとみている。

　また、攻撃者は「Telegram」の非公開チャンネルを指揮・連絡に利用し、暗号化された環境で役割分担や作業状況を共有していたとされる。Medi Faceは、これらの情報を含む攻撃基盤の解析結果を公開し、同じ攻撃グループが日本やアジア地域の別の医療機関や企業を標的としている可能性についても注意を呼び掛けている。

　今回の攻撃を巡り、Medi Faceは刑事告訴や損害賠償請求を含む法的措置の準備を進めている。弁護団は、不正アクセス禁止法違反や電子計算機損壊等業務妨害などの適用を視野に入れているという。

　海外の実行グループについては、刑事共助を通じた捜査協力の申請も準備している。Medi Faceは「医療機関のWebサイトそのものだけでなく、そこに蓄積された検索エンジンの評価や利用者からの信用までが攻撃対象になり得る事例だ」と指摘する。

　同社はGitHubで、攻撃インフラの構造やクローキングエンジンのコード解析結果、IoCなどの技術資料を公開。類似する被害の発見や解析結果の検証、インドネシアのモバイル端末からの表示確認、攻撃基盤のOSINT（Open Source Intelligence）調査、アフィリエイトIDや決済経路の追跡などについて、セキュリティ関係者からの情報提供を呼び掛けている。