SecurityHeroblog
セキュリティの基本19閲覧

廊下にもう一つ増えたロッカー — 偽ショッピングサイト11万9千件

広告で見かけた割引ショッピングサイトが、本物のブランドから写真も説明もカスタマーセンターの番号もそのまま持ってきていたという調査が出ました。確認されたアドレスだけで11万9千件あまり、名前を盗用されたブランドが4万4千社です。決済画面にカード番号を入力する前に何を見るべきかを整理しました。

学校の廊下にロッカーがずらりと並んでいます。私のものは3階の左から4番目、番号は覚えています。

ある日、その隣にロッカーがもう一つ増えました。色も同じ、取っ手も同じです。扉に貼られた番号札も同じで、しかも名札に書かれた担任の先生の名前まで本物です。違う点はたった一つだけです。

背板がありません。

私が扉を開けて財布を入れると、財布はロッカーの中にとどまりません。空いた背後へそのまま落ちていきます。反対側の廊下に立っていた人の手の中へ。扉を閉める瞬間まで、私は何も知りません。

今週公開された調査は、インターネットのショッピングサイトでこれが非常に大きな規模で起きていると言っています。この記事は、そのロッカーの話で最後まで通します。

まず、自分の側で起きること

SNSや検索広告にブランドの割引リンクが表示されます。押してみるとページはよくできています。商品写真もきれいで、説明も自然です。アドレスバーには鍵のマークも付いています。ところが値段が定価よりも大幅に安いのです。

カートに入れて決済画面へ進みます。カード番号を入れ、有効期限を入れ、カード裏面の3桁の数字(CVC)を入れます。名前と電話番号、配送先の住所まで埋めます。最後に銀行からSMSで届いた使い捨ての確認番号 — 一度使えば消える一時的なパスワードです — を、その画面に書き写します。

決済は通ります。ところが注文確認メールが届きません。商品も届きません。

事実 ここでこの手口の最もたちの悪い部分が出てきます。サイトに書かれていたカスタマーセンターの連絡先が本物のブランドの本物の連絡先なのです。腹を立てて電話をかけると、詐欺師ではなく本物の会社の社員が出ます。そして、そのような注文はないと答えます。自分がどこでやられたのかを、本物の会社に電話をかけてから初めて知ることになるのです。

ロッカーの名札に担任の先生の名前が書かれていたのと同じです。物がなくなったと職員室へ駆け込むと、先生はそんなロッカーを割り当てた覚えはないと言います。

事実 決済画面に入れた値がどこへ行くのかについては、カード番号・有効期限・CVC・名前・メールアドレス・電話番号・住所に、銀行が送った使い捨ての確認番号までまとめて攻撃者のサーバーへリアルタイムで送られるとBleepingComputerが報じました。この部分は調査を出した企業の公開資料にはなく、この報道にのみあります。ですから「そうである」ではなく「そう報じられた」までが、今言えることのすべてです。

推定 報道が正しいなら、決済ボタンを押した後に漏れるのではなく、タイピングしている間にすでに漏れている構造です。キャンセルボタンを押しても無駄だという意味になります。背板のないロッカーは、扉を閉めようが閉めまいが関係ないのですから。

なぜこれが通用するのか — 本物から丸ごと持ってきているから

偽ショッピングサイトが粗雑だろうという考えは捨てたほうがいいです。

事実 これらのショッピングサイトは、実在するブランドの商品写真と商品説明をそのままコピーしてきます。ですから写真が不自然なはずがありません。オリジナルから持ってきたものだからです。そこに値段だけを大きく削って付けます。

推定 鍵のマークも判断材料にはなりません。アドレスバーの鍵は「このサイトは信頼できるところ」という印ではありません。「自分とこのサイトの間でやり取りされる内容を、横から盗み見ることはできない」という意味でしかありません。ロッカーに頑丈な錠前が付いているからといって、それが自分のロッカーである証明にはならないのと同じです。錠前は箱を守ってくれますが、箱の持ち主が誰なのかは教えてくれません。

事実 量産方式だという状況証拠も報じられました。確認されたショッピングサイトの96%が同じ骨組みファイルで作られており、接続するサーバーも27個のまとまりに集まるといいます。一か所で型を打ち抜いて廊下ごとに置いていくようなものです。これもまた報道にのみある内容です。

事実 餌は割引率です。最大65%まで値引きしてくれるように見せかけると報じられました。10万ウォンのものが3万5千ウォンに見えるという話です。ここまで安ければ、いい機会をつかんだのではなく、自分が餌の前に立っている確率のほうが高いのです。

数字で見る規模

まず数字を見てみます。3列目(どこから出た数か)も一緒に見てください。 確認されたものと、報道にのみあるものが混ざっています。

数字 何 出典
119,012 ひとつながりになった偽ショッピングサイトのアドレス数 nebty独自データベース(確認)
44,783 名前を盗用されたブランド数 nebty独自データベース(確認)
2.72% 全.shopサイトのうちこの一群が占める割合 nebtyレポート(確認)
65% 人を引き込む割引率 BleepingComputer(報道のみ)

収集基準日は2026-09-05です。

11万9千という数はうまく掴めないでしょう。1日に100か所ずつ閉鎖させても3年以上かかる量です。その間にも新しいアドレスは開き続けます。ですから**「このアドレスは詐欺らしい」と一つずつ覚えて避ける方式は、はじめから成り立ちません。** 廊下に偽のロッカーが一つ置かれたのではなく、毎朝新しく置かれるのです。

事実 4万4千社というブランド数も一緒に見なければなりません。1日に1ブランドずつ確認しても120年以上かかるリストです。ここから出る結論は一つです。自分の知っているブランド名が掲げられていることは、そのサイトが本物だという根拠にまったくなりません。 名前を知っているブランドであるほど、むしろ盗用リストに載っている可能性が高いのです。なお、このリストに載ったブランドは加害者ではなく、名前を奪われた側です。

事実 .shopで終わるアドレス100件のうち3件近い数がこの一群です。アドレスの末尾に付く.com、.co.krのような部分をトップレベルドメインと呼びますが、ここでは大部分が.shopを使っています。

推定 だからといって「.shopなら詐欺」ではありません。まっとうな.shopサイトが97%を超えます。ただ、アドレスの末尾が普段見ているものと違うなら、素通りせずにもう一度見てみる理由にはなります。

事実 以前に知られていた同種の偽ショッピングサイトの一群は7万5千件規模だったといいます。今回の件が公開されたもののうち最大だ、というのが報道の説明です。

それで、今やること

やることは二つです。難しくありません。

一つ。カード番号を入れる直前に、アドレスバーを見る。

今見ているページのアドレスを、そのブランドの公式サイトのアドレスと直接突き合わせます。目でざっと流さずに、公式サイトを別に一度開いて並べて比較してください。そしてこれが肝心なのですが — 広告リンクを押して直接入ったところでは、カード番号を入れません。 買いたいものができたなら、そのリンクを閉じて、ブランド名を自分で検索するか、普段使っている公式アプリから入って、そこで買えばいいのです。ロッカーに物を入れる前に番号札を確認すること、ちょうどそれだけのことです。

二つ。すでに入れてしまったなら、今日カード会社に連絡する。

入力したカードを停止させ、再発行を依頼してください。そして最近の決済履歴に目を通してください。商品が届かないことを確認してから動くのではなく、入力したと気づいた時点ですぐにやることです。恥ずかしがることでもありません。写真も説明も電話番号も本物から持ってきたページだったのですから。

私たちが分からないこと

このブログは、確認されていないことを確認されたことのようには書きません。今回の件でまだ分かっていないことです。

  • 韓国で何人が被害に遭ったのか分かりません。 国内の被害規模も、国内への流入経路も、今回の調査には出てきません。
  • 誰が運営しているのか分かりません。 どこの国の組織なのかも明らかにされていません。ですからこの記事には国籍も組織名も付けていません。
  • 実際の被害件数が分かりません。 11万9千はサイト数であって被害者数ではありません。この二つはまったく違う値です。
  • 傍受した銀行の使い捨て確認番号を実際にどう使うのか分かりません。 報道に説明がありません。決済承認にそのまま使うと断定することはできません。
  • 人々がこのサイトにどんな経路で主にたどり着くのか分かりません。 広告なのか検索なのかSNSなのか、確定した説明がありません。
  • 調査レポートの正確な発行日が明示されていません。 この記事の数値の基準日は、データ収集日である2026-09-05です。

これに加えて、決済画面の入力値のリアルタイム送信と「10万5千件がまだ生きている」という数値は一次資料になく、BleepingComputerの報道にのみあります。この記事では後者はいっさい使わず、前者は報道であると明示して書きました。

出典

一次出典から記します。

この記事は私たちの観測ではなく、他者の取材を材料にして書いています。ですから攻撃タイムライン・MITRE・IOCのブロックがありません — ない資料を作って入れることはしません。数値は一次調査資料(2026-09-05基準)を優先し、一次資料になく報道にのみある内容は本文で「報じられました」と区別して記しました。ブランド数は一次データベースの44,783件と報道の44,182件が異なりますが、データベースが更新され続けているとみられるため一次の数値を使いました。攻撃主体の国籍・所属と国内の被害規模は確認されていないため、この記事には記していません。真似できる形のコマンド・アドレス・手順は載せません。発行日 2026-09-10。