
2026/11/07 4:19
飲食店での配達決済におけるスキミングキャンペーン
RSS: https://news.ycombinator.com/rss
要約▶
Japanese Translation:
2026 年 11 月上旬、InfoHawk の調査員は、35 のレストランブランドを偽装した協調的な攻撃キャンペーンを発見した。このキャンペーンでは 820 のドメインが関与しており、その多くは .delivery トップレベルドメインを使用している。攻撃者はリバースプロキシ技術を用いて正当なサイトを複製すると同時に、チェックアウトフォームを悪意のあるスクリプトに置換し、クレジットカードデータを窃取し、銀行から SMS 認証コードを収集して不正取引の承認を行う。重要な点は、この作戦がレストラン自身のシステムを侵害していないことである。攻撃者は偽のサーバーをホストしており、主に Cloudflare の背後(761 ドメイン)と、フランクフルトにある AWS サーバー上の別のカスタムクラスタ(68 ドメイン)に注入されたスクリプトを使用して、バックエンドへの呼び出しを実際の API 経由でリレーし続けることで、決済段階が乗っ取られるまで支払いを傍受している。このキャンペーンでは、2026 年 7 月 7 日から 10 月 20 日の間に、無関係な広告主アカウントの下で少なくとも 47 の Google 検索テキスト広告も乗っ取られた。2026 年 11 月 4 日時点で、367 ドメインが依然として稼働しており、広告キャンペーンが終了した後でも一時的な詐欺から持続的な作戦へのシフトが行われたことを示している。不正取引を完了した被害者は、別のチェーンの実際のサイトまたはランディングページへリダイレクトされ、有効な注文確認画面が表示されるのをブロックされ、金銭的損失、アイデンティティ詐欺、および偽装ブランドに対する評判への悪影響が生じている。
本文
レストラン偽装サイトと支払いスキミング攻撃:情報ハークによる調査レポート
概要
2026 年 11 月上旬に、情報ハーク(InfoHawk) の研究チームが、レストランの注文サイトを模倣した偽装サイト(クローンサイト)およびクレジットカード情報の不正収集(支払いスキミング) を目的とした攻撃集団について調査を実施しました。
調査の主な成果
- 発見されたドメイン: 35 のブランドを模倣する820 ドメインが確認されました。
- 808 ドメインは
というトップレベルドメインを使用。.delivery - 残りの 12 ドメインは
または.com
を使用しています。.shop
- 808 ドメインは
- 危険性の要因: サイトの規模そのものに加え、**「驚くほど本物らしき」**仕様が特に脅威となっています。
- 情報源: 疑わしいドメインは
およびjarrysaymlckess[.]delivery
などから発覚しました。dawechlckhort[.]delivery
この攻撃の特徴:なぜ危険なのか
単なる粗悪な偽サイトではなく、高度な技術を用いて正規のサイトの機能を完全に再現しています。
仕組みの核心:リバースプロキシの活用
- 手法: **「リバースプロキシ」**技術を用い、正規のレストランサイトのコンテンツをそのまま表示しつつ、決済部分のみを悪意のあるものに置き換えています。
- 動作原理:
- ユーザーリクエストに対して、攻撃者サーバー経由で本物サイトからコンテンツを取得し返す。
- メニュー、価格、営業時間、カート状態などはリアルタイムで正規サイトから取得されるため、正確に反映されます。
- 攻撃者は「決済の瞬間」のみを書き換えることで、最小限の変更で最大限の被害を狙います。
具体的な悪意の手法
- クレジットカード情報の収集: カード番号などの基本情報を盗み取るだけでなく、銀行から届く SMS 認証コードの入力を要求する組み合わせを行います。
- ※SMS コードを取得できれば、被害者の銀行が処理を承認するのを防ぐことが難しくなります。
- ハッキング不要: レストランの公式サイトを直接ハッキングする必要がありません。攻撃者は自身で管理するサーバーに正規サイトのコンテンツを流し込みます。
- ユーザー体験の欺き:
- サイトの外観は親しみやすく、注文の流れも正常です。
- 顧客が支払う直前にのみ、悪意ある決済フォームが表示されます。
なりすまされたブランドとドメイン一覧
調査期間中に発見された主な偽装サイトの対象品牌とドメイン数です。登録日はすべて 2026 年です。
| ブランド名 | 発見ドメイン数 | 期間(例) | ドメイン名の傾向 |
|---|---|---|---|
| Jimmy John's (ジミー・ジョーンズ) | 404 | 3/3 - 10/21 | スペルミスのドメインが多い(例:) |
| Firehouse Subs | 121 | 7/19 - 11/1 | 文字入れ間違いのドメイン(例:) |
| Jersey Mike's | 80 | 7/18 - 9/20 | 文字を置換したドメイン(例:) |
| Dave's Hot Chicken | 67 | 8/4 - 10/7 | 似ているが異なるドメイン(例:) |
その他に確認されたブランド
以下の各ブランドについても同様の偽装ドメインが多数発見されています。
- Marco's Pizza, Waffle House, Tropical Smoothie Cafe, Torchy's Tacos, Miller's Ale House
- Cold Stone Creamery, Buffalo Wild Wings, Chipotle, Auntie Anne's, Bob Evans
- Graeter's, Penn Station, Red Lobster, Arby's, Chicken Salad Chick
- Little Caesars, McAlister's Deli, Panda Express, Shipley Donuts, Carl's Jr.
- El Pollo Loco, Five Guys, Hungry Howie's, Insomnia Cookies, Mellow Mushroom
- Panera Bread, Popeyes, Sheetz, Tim Hortons, Wawa, Wingstop など
攻撃の詳細:技術的な仕組み
以下は、
mlckessejersstey[.]delivery(Jersey Mike's の偽装サイト)を例にした具体的な操作流程です。
1. 検索広告からの誘導
- Google 検索上でレストランを検索すると、見分けがつかない類似ドメインの広告が表示されます。
- Cloudflare を経由するため、サーバー所在地は隠されており、ブラウザ上では「接続は安全」と表示されます。
2. ページと API の書き換え(リバースプロキシ)
- プキシサーバーが本物サイトからページを取得し、ブランド固有のドメイン名を偽装ドメインに書き換えて返します。
- バックエンドへのアクセス:
- 店舗検索、メニュー表示、カート操作などは正規の API を使用していますが、パスが書き換えられています(例:
,/__bapi__/
)。/__payments__/ - これにより、偽装サイト内でもブランドのカバート検出スクリプトは動作しますが、偽装された環境で実行されます。
- 店舗検索、メニュー表示、カート操作などは正規の API を使用していますが、パスが書き換えられています(例:
3. スクリプトによる改ざん
- 読み込まれないもの: HTML のスクリプト要素をブロックし、アプリ誘導や本物ドメインへ送るスクリプト(例:OneTrust クッキーバナー)は読み込ませません。
- 強制されたスクリプト:
: 本物の決済フレームを見つけて、偽装ドメイン上の_jmu()
へのパスに差し替えます。/js/index.html
: ページが本来の姿に戻ろうとした際、常に偽装要素を再設定します。MutationObserver
: 「注文する」ボタンの合計金額を読み取り、半秒ごとに保存することで偽装フォームに正しい金額を表示させます。_chkT()
4. カード入力フォームの差し替え
(カード入力フォーム)や/js/*
などのパスは、本物サーバーではなくサクラサーバーが応答します。/payment/socket.io- 収集情報: カード番号、有効期限、セキュリティコード、名前、電話番号など全てのフィールドを収集し、ソケット接続経由で運営者に送信します。
5. バンキング認証の回避(SMS スキミング)
- ユーザーが「カードは拒否されました」と表示されたページや SMS 認証入力ページに入力すると、そのコードは作業者の請求を通過させる鍵となります。
- 3-D Secure プロトコルにより、被害者の承認が犯罪者の取引に使われます。
6. 被害者の送り返し(リダイレクト)
- 攻撃側で処理完了後、ページは
というクッキーを設定して、別のチェーンの実在サイト(例:Jimmy John's)へリダイレクトします。valid=77777 - 注意点:
- 実際の決済ステップは一度も実行されません。
- 確認メールも届きません。
- 被害者のカードには作業者が購入した金額のみがチャージされます。
「Delivery Scam」の広告分布状況
Google の広告アーカイブ(Ads Transparency Center)での分析結果です。
- 調査期間: 2026 年 7 月 7 日 - 10 月 20 日
- 発見された広告: 少なくとも47 件の Google 検索テキスト広告が存在しました。
- 46 の異なる広告主アカウント下で運用されています。
- 43 つの全く関係のないビジネス名(建設会社、爬虫類救助団体など)が使用されています。
広告停止状況
- 現在: 2026 年 11 月 4 日時点で 820 ドメインのうち 367 が稼働中ですが、多くの広告はすでに停止しています。
- 一部の広告は 2026 年 11 月 3 日に Google が削除しており、公衆向けページでは「広告が見つかりません」と表示されています。
広告主の例(一部)
- Jimmy John's: CORE LIGHT CONSTRUCTION, Bewildered Books LLC, Nadman Inc. など(20 件の広告)
- Firehouse Subs: KVLASH SANJOSE LLC, Brian Wobst LLC などを名乗る広告(12 件の広告)
- Dave's Hot Chicken: CIVELA LLC, Alyx De Jong LLC などを名乗る広告(11 件の広告)
ホスティング環境の特徴
偽装サイトの大半はセキュリティ機能を持つクラウドプロバイダーを利用しています。
- Cloudflare: 820 ドメインのうち761が Cloudflare のネームサーバーを使用。
- AWS (Amazon Web Services): 68ドメインが関連付けられており、Frankfurt にあるサーバーから直接提供されているものもあります。
- これらの一部には
という注入スクリプトが含まれています。/static/<name>-fix.js
- これらの一部には
- ドメイン登録: 最初の 255 ドメインのスキャンで251が Dynadot で登録されていました。
ブランドへの影響と対策
攻撃の影響範囲
- レストランのシステムをハックする必要がありません。ページごと本物のサイトを借りており、決済瞬間のみ攻撃を導入します。
- そのため、ブランド自体のサーバーではすべてのページが表示可能ですが、決済セッションが本物の決済プロバイダーに到達しないという異常を検知することは困難です。
対策への協力の呼びかけ
情報ハークは以下のことを追跡しており、ご懸念があればご連絡ください。
- 類似ドメインの監視
- トラフィック誘導のための広告の検出
- その背後にあるインフラストラクチャの特定
ブランドを保護し、このような攻撃からの防御策についてご質問がある場合は、情報ハークまでお問い合わせください。