FBIがW杯便乗の偽FIFAサイトを警告 — 古典フィッシングが今も最大の被害源

FBI（米連邦捜査局）が、開催中のFIFAワールドカップ2026に便乗した偽FIFAサイトと偽チケット販売サイトが大量出現しているとして警告を出した。手口は古典的なフィッシングだが、規模と精巧さは年々上がっている。今回はなぜ大規模イベント便乗がこれほど繰り返されるのか、防御側として何を見るべきかをハッカー視点でまとめる。

なぜ「フィッシングのゴールデンタイム」になるのか #

W杯のような国際イベントは、攻撃側にとって三拍子そろった好機だ。まず時間的圧力——「今すぐ買わないと売り切れる」「決勝の席が残り3枚」とあおれば、ユーザはURLやSSL証明書を冷静に見なくなる。次に新規ドメイン乱立の許容——fifa-tickets-2026.com や worldcup-japan.shop のような怪しい名前でも、公式が公開する大量の関連ドメインに紛れ込みやすい。最後に国際決済の煙幕——海外サイトでカード決済すること自体が普段から起きるため、不審な海外決済アラートが鈍る。

攻撃者はSEO広告枠を買って本物の fifa.com より上に表示させる手法も多用する。Google広告経由のフィッシングは2024年以降特に顕著で、検索結果のトップが偽サイトという事案は珍しくない。

防御側が見るべきポイント #

ユーザ視点の対策は単純だが、ほぼ毎回これで判定できる。

組織側では、社員の私的観戦予定が攻撃の入口になりうる点も意識したい。社用端末で「W杯 チケット」を検索→広告から偽サイト→ID/PW窃取→社内アカウントに横展開、というシナリオは現実的だ。期間中はWebプロキシのログで急に増えた *-tickets-*.shop 系を軽く監視しておくだけでも初動が早くなる。

派手なゼロデイより、被害者数では大規模イベント便乗フィッシングのほうが圧倒的に多い。古典手口ほど対策の徹底度で差が出る。