マシンの内部：仮想通貨詐欺師の手口
Bing と DuckDuckGo を乗っ取る

2つの攻撃ベクトル

我々の調査により、以下の事実が明らかになった まったく異なる2つの並行処理 これらを同時に実行し、フィッシングサイトをBingやDuckDuckGoの検索結果の上位に表示させる。

ベクトルA：Yahoo!のSERPインジェクション攻撃

これは間違いなく…… 技術的に最も洗練されている 2026年に当社が記録したブラックハットSEO攻撃です。これは、Bingがリンクの権威性を評価する方法における根本的な欠陥、具体的には、信頼できるドメインからの本物の編集リンクと動的に生成された検索結果ページとを区別できないという点を悪用したものです。

Yahoo!から引き継がれたオーソリティスコア（AS 24）が、モバイル検索ページを経由してフィッシングドメインに流れている――Bingはこのシグナルを正当なものとして受け入れている

その仕組み — 手順を追って

ステップ 1 — 信頼済みキャリア URL の生成。 攻撃者は、Yahoo!のモバイル検索エンドポイントにおいて、複数の国際サブドメインにまたがるURLを作成しています： no.search.yahoo.com （ノルウェー）、 fr.search.yahoo.com （フランス）、 mx.search.yahoo.com （メキシコ）、 pl.search.yahoo.com （ポーランド）、 gr.search.yahoo.com （ギリシャ）、 qc.search.yahoo.com （ケベック）、 chfr.search.yahoo.com (スイス・フランス語)、 co.search.yahoo.com （コロンビア）。これらのページには、Yahoo!から引き継がれたオーソリティスコア（23～24）が表示されています。

ステップ 2 — フィッシング用アンカーの埋め込み。 各URLには、「pele+fifa」、「Jean-Paul+Sartre」、「Radio+Stars」、「jucheck.exe」といった、完全にランダムで無害な検索クエリが含まれていますが、アンカーテキストには次のように書かれています： curvefi.co Curve Finance. クエリをランダム化することで、スパムフィルターによるパターンマッチングを回避しています。

ステップ3 — 強制クロールとインデックス登録。 攻撃者は、大量ピングサービス、フォーラムやブログへのコメント投稿、および自動クロール起動ツールなどを利用して、BingbotにこれらのURLをクロールさせるよう仕向けています。

SEMrushの生のデータ — curvefi.co

残酷な皮肉： このサイトには ゼロ オーガニックキーワード、 ゼロ SEMrushのデータベースにはトラフィックが記録されていないにもかかわらず、Yahoo!の権威性が反映されているため、「Curve Finance」の検索でBingやDDGの検索結果に表示されている。

ベクトル B：連携型 PBN ネットワーク

ここで、この調査は本当に憂慮すべき事態へと発展する。5つの別々のフィッシングサイト―― rabbys.at、dexscreener.at、monero-wallet.at、trezorsuite.at、および keplr.me — これらすべてに共通するのは、 同一のバックリンクソースのセット. これは偶然ではない。これは 単一の組織的な犯罪活動 1つのインフラストラクチャから複数のフィッシング攻撃を展開している。

オペレーター1名、PBN提供者9名、フィッシングの標的5件――これが偶然である確率は約0.00001％である

「ザ・スモーキング・ガン」 — 共有インフラ

フィッシングドメインのプロファイル

AIを活用した記事量産サイト

aster-dex.at の亜種は、 ハイブリッド型アプローチ、ベトナム、イタリア、インドネシア、スイス各地の乗っ取られたサイトやこの目的のために作成されたサイトに、YahooのインジェクションとAI生成のブログコンテンツを組み合わせて掲載する手法である。

不正アクセスを受けたサイトに掲載されたAI生成記事――タイトルは同一だがドメインが異なり、すべて同じフィッシングサイトへリンクしている

このブログの記事は、どれもほぼ同じタイトルになっています： 「なぜトークンスワップや流動性プールは、経験豊富なDEXトレーダーでさえもつまずかせるのか」, 「なぜ自動マーケットメイカーは依然としてトレーダーを驚かせるのか」. これらは AIが生成した記事 AS 21～36のサイトに掲載されており、いずれもaster-dex.atにリンクしています。

コメントスパムの侵入

keplr.me はまったく異なるアプローチをとっています。それは、無関係な高権威サイトへの純粋なコメントスパムです。「ZackaryThymn」、「Fritzkah」、「Jamesboach」といった偽のユーザー名が、哲学教育サイトに暗号資産ウォレットへのアンカーリンクを埋め込んでいます（filozofija.edu.rs, AS 45）、従業員エンゲージメント・プラットフォーム（bavave.com, AS 63）、および芸術祭（lea-festival.com, AS 50）。

一見すると普通のユーザーコメントの中に紛れ込み、知らず知らずのうちにフィッシングリンクを掲載している正規のサイト

どん底：自動化されたツールによるスパム

bscscan.cfd ありとあらゆる中で最も粗雑な手法を用いている。その手法とは、文字通り「」という名前のサイトから提供される有料の一括バックリンクパッケージである。 rankongoogle.agency そして linksjump.click. すべてのリンク元で AS = 0 となっています。.cfd という TLD は、スパムの指標として知られています。しかし、Bing では、これさえも部分的には有効です。つまり、ネガティブな履歴のない真新しいドメインであっても、質の低いリンクの数がランキングに影響を与える可能性があるのです。

「バックリンク1000本 9.99ドル」――最も安価なSEO詐欺ツールは、Bingではまだある程度効果を発揮している

BingとDuckDuckGoが特に脆弱である理由

Googleの多層的なスパム対策と、Bingのまだ未熟な検知機能――詐欺師たちがこの差を悪用している

キーワードターゲティング戦略

キーワードプロファイルからは、次のようなことが明らかになっている 外科的な精度 ターゲット選定において。事業者は、主要なブランド用語だけでなく、タイポスクワット（「ラビ・ウォレット」, 「ラビー・ウォレット」, 「dexscrenner」) や、中国語の検索クエリ（「aster取引所」 （25位）。

多言語対応：英語、フランス語、中国語、ベトナム語 — その事業は大陸を越えて展開されている

歴史的背景：Trust Wallet／DuckDuckGoの問題

Trust Walletがデフォルトの検索エンジンとしてDDGの使用をやめた後も、根本的な脆弱性は依然として残っています。どのユーザーも プライバシー保護のため、手動でDuckDuckGoを選択する — 仮想通貨ユーザーと大きく重なる層 — は、今日でもまさにこうした攻撃の標的となり続けている。本報告書で取り上げられた詐欺グループは、この手口のバリエーションを 数年間、検索エンジンが個々のベクトルを徐々に修正していくにつれて、それに適応していく。

身を守る方法

• 絶対に 検索結果からウォレットを連携する
• ブックマーク 正規のサイトに直接アクセスする
• DDGの !bang ショートカット： !g curve finance Google検索を強制する
• MetaMaskのフィッシング検知拡張機能をインストールする
• 以下のサイトで、任意のドメインを確認できます。 PhishDestroy 接続する前に

マイクロソフト／Bingへの提言

1. 動的ページの検出： 検索結果ページ（Yahoo、Baidu、Google）を分類し、外部リンクからリンクエクイティを除去する
2. PBNの協調的検出： 9つのドメインが、同一のパターンを持つ5つの異なるサイトへリンクしている場合は、操作行為としてフラグを立てる
3. ブランドなりすまし対策層： TLD置換攻撃を検知する（dexscreener.at ≈ dexscreener.com)
4. .ATドメインの監視： 暗号資産関連の検索結果ページ（SERP）において、新規登録された.atドメインに対する審査が強化される
5. DuckDuckGoのクイックガイド： DDGが直接アクセスできる、スパム除去専用のAPIを作成する

証拠は公開されています。ドメインは記録されています。被害者は実在します。解決策はマイクロソフトの手に委ねられています。

運営者は1人。Bingには26のフィッシング用リンクが仕掛けられている。費用はドメインあたり2ドル。

1つのオペレーター、26のドメイン、1つのレジストラ

26件のフィッシングドメインすべてに対してRDAPクエリを実行しました。そのすべてが、同じレジストラを返しました： NiceNIC International Group Co., Limited。「ほとんど」ではない。「大多数」でもない。 23件中23件すべてが正常に照会されました — 同じレジストラで、認証前に3件のレート制限エラーが発生した（両者のインフラストラクチャのパターンが一致している）。

23件中23件を確認済み。レジストラは同一。顧客も同一。不正利用への対応はゼロ。

RDAP登録データ — 一括登録の証明

「2ドルのプレイブック」――ステップバイステップ

複雑なSEOなんて忘れてください。何ヶ月もかけてリンクを構築する作業も忘れてください。ここでは、Bingの検索結果で1位を獲得するための、完全かつ実証済みの攻略手順をご紹介します。

4つの手順、2ドル、そしてBingがフィッシングサイトを1位にランクイン

ステップ 1：タイポスクワット・レジストリ

ステップ 2：タイトルタグを複製する（$0、5 分）

オペレーターは、その内容をそのままコピーします <title> 実際のプロジェクトのウェブサイトからのタグとメタディスクリプション。 これが、何よりも重要なステップです。 このページ自体は、ウォレットから資金を吸い取るもの、あるいはシードフレーズを盗み出すものですが――しかし <title> Bingが順位付けするものです。

ステップ3：クローキングされたPBNへの投稿（0ドル、1分）

オペレーターは、15カ所のPBN拠点のうちいずれかを訪問します（bye.fyi, atomizelink.icu、など）を選択し、「URLを入力」と表示されたフォームにドメイン名を入力して、「短縮」をクリックします。送信すると、15のサイトすべてに同時にページが作成されます。これらは1つのデータベースを共有しているからです。

ステップ4：待機（2～8週間、0ドル）

総費用の内訳

クローキング・エンジンの内部

PBNネットワークから実際のHTMLソースコードを取得し、分析しました。すべてのドメイン上のすべてのページで、同じクローキングエンジンが稼働しています。

ユーザーに表示される内容とBingbotが認識する内容の違い — その z-index: 1000000 壁には3,500個のリンクが隠されている

ページの構成：400KBのHTML、3,500以上のリンク、4層

<body style="overflow: hidden;">
  <div style="position:absolute; top:0; left:0;
              width:100%; height:5000px;
              background:white; z-index:1000000;
              font-size:32px; text-align:center;">
    <p>The domain report has Expired!</p>
  </div>

// work.js — identical on all 15 domains:
window.location.replace("https://scrib.li/ai-article-generator");

<p>Learn More Here <a rel="nofollow"
     href="https://PHISHING-TARGET.finance">PHISHING-TARGET.finance</a></p>
... x 3,500 links ...

証明：1つのネットワーク、1つのデータベース

orbit-protocol-lending.net 複数のPBNドメインにまたがって表示され、 同じデータベースからの連番ID:

1つのデータベース。15のフロントエンドドメイン。すべての画面で、同じバックエンドから同一のコンテンツが表示されます。

異なる「ブランド」間でIDが共通 = バックエンドは1つ、運営主体も1つ。 15のドメイン。同じHTMLテンプレート。同じCSS（style.css). 同じJavaScript（work.js). 同じ3,500リンクのページです。

第2のPBN — ドメインチェッカー・ネットワーク

別の、より積極的なリンクネットワークが、選定されたターゲットに対してdofollowバックリンクを提供します。マスターサーバー： all-aged-domains.com — 50～80のサテライトドメインにCSS、JS、テンプレートを配信しているWordPress 6.6.2のインストール環境。

なぜBingはこれに引っかかるのか

Googleの装甲ロボットがゲートでフィッシングを阻止する。Bingの愛想の良いドアマンがドアを開けたままにしておく。

「タイトルマッチ」の脆弱性

app.thnuster.cc バックリンクはちょうど1つだけ――Yahoo!の検索結果ページのキャッシュです。このサイトは、Bingで「Thruster Finance」という検索語句において1位にランクインしています。これは、競合の少ないブランド名クエリに対するBingのランキングが、主に以下の要素に依存していることを示しています：

1. タイトルタグの完全一致 検索クエリに対して
2. ドメインがインデックスに登録されています （どんなシグナルでも――たとえnofollowリンクが1つだけでも――それで十分です）
3. 否定的な信頼の兆候がない （ドメインは新規で、履歴はクリーンです）

Googleは、確固たる権威性のシグナルを必要とし、既知のブランドドメインと照合を行います。一方、Bingはそうではありません。

Bingの検索結果第1位（SerpAPIによる確認、2026年4月）

更新された保護リスト（第2部：ブランド）

提言（第2部）

マイクロソフト／Bing 様：

1. タイトルマッチだけでは権威とはならない。 ブランド関連の検索クエリにおいて、タイトルが一致しているという理由だけで、新しいドメインを1位にランク付けすべきではありません。ドメインの運営期間、被リンクの権威性、またはブランド認証のシグナルを要件として設定してください。
2. CSS を利用したクローキングを検出する。 z-index オーバーレイを使用して、ユーザーにはコンテンツを非表示にしつつ、クローラーには表示しているページは、フラグを立てる必要があります。
3. 組織的なPBNネットワークを検知する。 15のドメインが1つのバックエンドを共有し、同じリンク先へリンクしている状況は、自然なリンク構築とは言えません。
4. 暗号資産の検索結果ページ（SERP）で、NiceNICに登録されたドメインにフラグを立てる より厳格な審査を行うため。
5. DuckDuckGoのスパム優先処理ルートを作成する。 DDGはBingの脆弱性をすべて引き継いでいるが、独自のスパム報告機能は備えていない。

NiceNIC International Group Co., Limited 様：

Cloudflare 様：

26のドメインすべてがCloudflareのDNSおよびプロキシを利用しています。これらのドメインは、Cloudflareのインフラストラクチャを介して、ウォレットの資金を搾取するプログラムやシードフレーズを収集するプログラムを配信しています。