チェック・ポイント・リサーチ、中国語話者の脅威グループ「Gambling Goblin」を発見し、大規模なSEO詐欺の手口を公開

チェック・ポイント・ソフトウェア・テクノロジーズ株式会社
侵害したブラジル政府サイトのドメインが持つ信頼性を悪用し検索順位を操作　Google Play、Microsoft Store、Amazonになりすまし、被害者をギャンブル・賭博サイトへ誘導

サイバーセキュリティソリューションのパイオニアであり、世界的リーダーであるチェック・ポイント・ソフトウェア・テクノロジーズ（Check Point(R) Software Technologies Ltd.、NASDAQ: CHKP、以下チェック・ポイント）の脅威インテリジェンス部門であるチェック・ポイント・リサーチ（Check Point Research、以下CPR）は、侵害したブラジル政府のウェブサイトを大規模なSEO詐欺に悪用する中国語話者の脅威グループを発見し、その手口を公開しました。

CPRが「Gambling Goblin」と名付けたこのグループは、ブラジル政府サイトのドメインを侵害し、その信頼性の高さを悪用して自らのコンテンツを検索順位の上位へ押し上げ、そこから生じるトラフィックを乗っ取っていることが明らかになりました。さらに、フィッシングページはアプリのダウンロード元となるGoogle Play、Microsoft Store、Amazonを装っており、攻撃者がわずかに設定を変えるだけで、被害者へマルウェアを直接送り込むことができる状態にあります。フィッシングページはブラジル語以外にベトナム語、スペイン語、英語でも確認されており、CPRは同グループによる攻撃の拡大に対する警戒を呼びかけています。

主な調査結果
- CPRは中国語を話す脅威グループを発見し、「Gambling Goblin」と名付けました。このグループは高い信頼を得ている政府系Webサイトを侵害し、大規模な詐欺活動のインフラとして悪用しています。
- 同グループは、連邦・州・自治体の公的機関が運用する「.gov.br」ドメインサイトを主体としたブラジル政府の正規ウェブサーバーを侵害し、悪意あるモジュールを埋め込みます。これにより、サーバーは訪問者に気づかれることなく、フィッシングコンテンツへの誘導を目的としたリバースプロキシへと密かに変えられています。
- フィッシングページはGoogle Play、Microsoft Store、Amazonになりすまし、偽の評価やレビューまで備えています。その目的は、オンラインギャンブルやスポーツ賭博への誘導です。
- 同グループは、アジア各地のギャンブルサイトを標的にしてきたことで知られるグループ、「Earth Berberoka」との関連が確認されています。この事実は、10年にもわたり実行されてきたギャンブル絡みのサイバー犯罪の手口が、いまや新たな地域を標的として輸出される過程にあることを示しています。

大規模展開のために構築され、輸出される詐欺モデル
CPRは、2025年半ばに開始された継続中のキャンペーンを追跡してきました。このキャンペーンは、信頼を得ているインフラが、サイバー犯罪によってどこでどのように標的とされるかという点で、大きな変化を示しています。その背後にいるサイバー犯罪者が、CPRが「Gambling Goblin」と名付けた中国語を話すグループです。このグループは、アジア各地のギャンブルサイトを標的にしてきたことで知られるEarth Berberokaと関連しており、信頼性と評価の高いウェブサーバーを侵害し、世界規模でSEO詐欺を展開するためのインフラへと変える手口を用いています。

現在最も高度な形でこの手口が展開されている地域がブラジルです。これまで同地域は、バンキング型トロイの木馬を用いる現地のサイバー犯罪グループが支配的でしたが、この変化には、ギャンブル業界を標的とした10年にもわたるサイバー犯罪が新たな市場へと移行していく兆候が現れています。しかしCPRは、同じ手口のテンプレートが、すでにベトナム語、スペイン語、英語の利用者向けにローカライズされていることを確認しました。そのインフラからは新しいドメインが日々生成されており、各地へ広がることを前提に作られたモデルであることが示されています。

信頼されたサーバーを「隠れた侵入口」に
ホストへの侵入に成功すると、Gambling Goblinは多機能で高度に難読化されたLinux用ツールキットを展開します。そこには、独自のダウンローダー、複数のバックドア、認証情報を窃取するツール、そしてインターネットに露出しているインフラを把握するための偵察エージェントが含まれます。

真の目的は、ネットワーク層で確認できます。同グループは、侵害したサーバーに独自のApacheモジュールを組み込み、訪問者を密かに攻撃者の管理下にあるフィッシングページへと中継します。その間、ブラウザのアドレスバーに外部のドメインが表示されることは一切ありません。さらにこのモジュールは、サーバーのセキュリティヘッダーを無効にし、埋め込まれたスクリプトが制限なく実行できる状態を作り出します。その結果、信頼性と評価の高いサーバーが、隠れた侵入口に変わってしまうのです。

信頼を借用し、検索順位を操作
フィッシングページは、人間と検索エンジンの両方を欺くよう作られています。Google Play、Microsoft Store、Amazonになりすまし、捏造（ねつぞう）された評価や構造化メタデータまで備えている一方で、実際にはオンラインギャンブルやスポーツ賭博へと被害者を誘導します。

ブラジルの事例では、なりすまされたページに並ぶアプリやナビゲーションリンクが、数多くの実在のドメインにつながっていました。見つかった事例の大半が、連邦・州・自治体の公的機関が運用する正規の政府サイトを示す、「.gov.br」のドメインになりすますものでした。攻撃者は、すでに高い検索評価を持つドメインを次々と連鎖させることで、その信頼の力を借りてギャンブルコンテンツを検索の上位表示に押し上げ、その先に続くトラフィックを乗っ取ります。また生成されたドメインをたどる調査では、中国語話者を狙うギャンブルやアダルトコンテンツのサイトに行き着いたほか、インフラの重複も確認されました。その中には、以前はEarth Berberokaと関連付けられていたAmazonの共有ASNも含まれました。


ブラジルのフィッシングページの例

警戒すべき理由
このキャンペーンによって、組織に対して人々が持つ信頼を、産業的な規模でじっくりと悪用する動きが浮き彫りとなりました。加えて、通常はスパイ活動レベルの作戦に用いられるようなツール群が用いられており、サイバー犯罪とAPT攻撃との境界線が曖昧になっています。さらに、リスクはSEO詐欺にとどまりません。フィッシングページは正規のアプリストアになりすましており、同じインフラの設定を一つ変えるだけで、悪意あるアプリを被害者に直接配布できる状態にあります。しかもそのリスクは、この活動が次に標的とする地域を問わず現実になり得ます。

防御側が取るべき対策
- Apacheの設定とインストール済みモジュールを監査する：想定外の.soファイル、とりわけmod_sslやmod_suexecなど、タイムスタンプが正規モジュールと一致するよう偽装されたファイルに注意します。
- セキュリティヘッダーの無効化を警戒する：特定のURLパスにおけるContent-Security-Policyヘッダーの突然の無効化は、リバースプロキシの挙動が埋め込まれたことを強く示唆しています。
- 公共機関はドメイン評価を資産として保護する：.govドメインに対する侵害は、その利用者に被害を及ぼすだけではなく、その信頼を、不特定多数の被害者を狙う詐欺を「洗浄」する武器として悪用される可能性があります。
- 正規プロセスへのなりすましや不正なApacheモジュールを積極的に探し出す：セキュリティチームはエンドポイント上のマルウェアに加え、これらのリスクに対処する必要があります。

本プレスリリースは、米国時間2026年9月2日に発表されたブログ（英語）をもとに作成しています。

Check Point Researchについて
Check Point Researchは、チェック・ポイントのお客様、脅威情報コミュニティを対象に最新のサイバー脅威インテリジェンスの情報を提供しています。チェック・ポイントの脅威インテリジェンスであるThreatCloud AIに保存されている世界中のサイバー攻撃に関するデータの収集・分析を行い、ハッカーを抑止しながら、自社製品に搭載される保護機能の有効性について開発に携わっています。100人以上のアナリストや研究者がチームに所属し、セキュリティ ベンダー、捜査当局、各CERT組織と協力しながら、サイバーセキュリティ対策に取り組んでいます。
ブログ: https://research.checkpoint.com/
X: https://x.com/_cpresearch_

チェック・ポイントについて
チェック・ポイント・ソフトウェア・テクノロジーズ（www.checkpoint.com）は、世界各国の10万を超える組織を保護するグローバルなサイバーセキュリティのリーダー企業です。チェック・ポイントは、企業の安全なAIトランスフォーメーションの保護をミッションとして掲げています。防止優先のアプローチとオープンエコシステムアーキテクチャを基盤に、組織がリスクを低減し、業務を簡素化して、自信を持ってイノベーションを推進できるよう支援します。チェック・ポイントの統合セキュリティアーキテクチャは、進化する脅威や拡大するAI攻撃対象領域に継続的に適応し、ハイブリッドネットワーク、クラウド環境、デジタルワークスペース、AIシステムを保護します。4つの戦略的柱であるハイブリッドメッシュネットワークセキュリティ、ワークスペースセキュリティ、エクスポージャー管理、AIセキュリティを軸に、チェック・ポイントは複雑なマルチベンダー環境全体にわたり、一貫した保護と可視性を提供します。チェック・ポイント・ソフトウェア・テクノロジーズの全額出資日本法人、チェック・ポイント・ソフトウェア・テクノロジーズ株式会社（https://www.checkpoint.com/jp/）は、1997年10月1日設立、東京都港区に拠点を置いています。

ソーシャルメディア アカウント
・Check Point Blog: https://blog.checkpoint.com
・Check Point Research Blog: https://research.checkpoint.com/
・YouTube: https://youtube.com/user/CPGlobal
・LinkedIn: https://www.linkedin.com/company/check-point-software-technologies/
・X: https://x.com/checkpointjapan
・Facebook: https://www.facebook.com/checkpointjapan

将来予想に関する記述についての法的な注意事項
本プレスリリースには、将来予想に関する記述が含まれています。将来予想に関する記述は、一般に将来の出来事や当社の将来的な財務または業績に関連するものです。本プレスリリース内の将来予想に関する記述には、チェック・ポイントの製品およびソリューションに関する見通し、将来的な成長、業界におけるリーダーシップの拡大、株主価値の上昇、および業界をリードするサイバーセキュリティプラットフォームを世界の顧客に提供することについての当社の見通しが含まれますが、これらに限定されるものではありません。これらの事項に関する当社の予想および信念は実現しない可能性があり、将来における実際の結果や事象は、リスクや不確実性がもたらす影響によって予想と大きく異なる可能性があります。本プレスリリースに含まれる将来予想に関する記述に伴うリスクや不確実性は、2026年3月31日にアメリカ合衆国証券取引委員会に提出した年次報告書（フォーム20-F）を含む証券取引委員会への提出書類に、より詳細に記されています。本プレスリリースに含まれる将来予想に関する記述は、本プレスリリースの日付時点においてチェック・ポイントが入手可能な情報に基づくものであり、チェック・ポイントは法的に特段の義務がある場合を除き、本プレスリリース記載の将来予想に関する記述について更新する義務を負わないものとします。

本件に関する報道関係者からのお問い合わせ
チェック・ポイント広報事務局 （合同会社NEXT PR内）
Tel: [phone]　Fax: [phone]
E-mail: [e-mail]