FIFA 2026ワールドカップ詐欺

セキュリティ研究者とFBIは、FIFAをテーマにした大規模な詐欺が、6月11日の大会開幕前にすでに2026年ワールドカップのファンを標的にしていると警告している。

このイベントはサイバー犯罪者にとって魅力的な機会となっている。米国、カナダ、メキシコの16都市で開催される試合には、600万人以上の観客が訪れると予想されている。FIFAは、販売開始から最初の15日間で1億5000万件以上のチケット購入希望があったと報告しており、需要は供給の約30倍に達している。チケットの入手困難、チケットを求める熱狂的なファン、そして迅速な取引は、大規模な詐欺行為にとって理想的な状況を作り出している。

最近の調査により、FIFAをテーマにした数千もの不正ドメイン、不正なストリーミングアプリケーションに隠されたマルウェア、そして正規のFIFAアカウントを乗っ取ることができる高度なフィッシングキャンペーンが明らかになった。

ゴーストスタジアム・フィッシングネットワークの台頭

研究者らは、2025年8月以降に登録された4,300件以上の不正なFIFA関連ドメインを特定した。この活動の中心にいるのは、金銭目的の中国語圏のグループ「GHOST STADIUM」であり、300以上のウェブサイトにまたがるフィッシングネットワークを運営している。

この作戦は、FIFA公式サイトを非常に精巧に模倣した偽サイトを利用している。偽サイトは、FIFAのPingIdentityを利用したシングルサインオンシステムを忠実に再現し、本物のプラットフォームからコピーした正規のクライアントIDまで使用している。信憑性を高めるため、画像はFIFAのサーバーから直接読み込まれており、コピーコンテンツを検出する一部の手法を回避している。

最も悪質な機能は、不正なパスワードリセット機能です。被害者が知らず知らずのうちに認証情報を入力してしまうと、アカウントの制御権を攻撃者に渡してしまうことになり、攻撃者は正当な所有者を締め出し、関連するチケットを転売することが可能になります。

トラフィックは主にFacebook広告を通じて発生しており、フィッシングネットワーク全体で同一のトラッキング識別子が使用されている。その他、Telegramチャンネル、WhatsAppメッセージ、操作された検索結果からも訪問者が流入している。

この詐欺の仕組みは、カードによる直接決済、第三者決済ゲートウェイ、ChimeやNequiなどの送金サービス、メキシコの地域決済処理業者、仮想通貨変換システムなど、複数のチャネルを通じて支払いを受け付けています。特に仮想通貨での支払いは、盗まれた資金の回収が著しく困難になるため、非常に危険です。

一つ明確な警告サインがある。FIFAの公式チケット販売プラットフォームは仮想通貨での支払いを受け付けていない。仮想通貨での支払いを要求する販売者は詐欺師とみなすべきだ。

研究者らは、プレミアムチケットやホスピタリティチケットの不正利用だけでも、7,100万ドルから4億7,400万ドルの損失が発生する可能性があると推定している。発見されたインフラの規模に基づくと、総被害額は数十億ドルに達する可能性もあるが、これらの数字は確定した損失ではなく、あくまで予測値である。

詐欺の拡大するエコシステム

1月から5月までのわずか4ヶ月間で、ワールドカップをテーマにしたドメインが1万3000件以上登録され、そのうち約8.8%が悪意のあるもの、または疑わしいものとして特定された。

FBIは既に、スペルミスのある類似サイトや偽のFIFA採用ポータルサイトなど、多数の不正なFIFA関連ドメインをリストアップした勧告を発表している。捜査当局は、大会が近づくにつれて、さらに多くの悪質なドメインが出現すると予想している。他のセキュリティチームも、数千もの模倣サイトと1000以上の偽のソーシャルメディアアカウントを特定している。

チケット詐欺は、はるかに大規模な犯罪エコシステムのほんの一部に過ぎません。詐欺師たちは、偽造品販売店、偽のスポーツ賭博プラットフォーム、そして購読料を徴収するだけでなく、攻撃者が被害者のデバイスを遠隔操作できるマルウェアを配布する不正なストリーミングサービスなども運営しています。

その他の手口としては、最高200万ドルの賞金を約束する偽のFIFA宝くじ通知などが挙げられる。研究者らはまた、犯罪者が既製の詐欺キットや自動チケット購入ボットを購入できるフィッシング・アズ・ア・サービス市場が拡大していることも確認しており、これにより新たな犯罪者が詐欺の世界に参入しやすくなっている。

これらの活動は高度に相互に関連している。偽ドメインはチケット関連の検索を捕捉し、広告や操作された検索結果はトラフィックを生成し、盗まれた認証情報データベースはアカウント乗っ取りを可能にし、悪意のあるモバイルアプリケーションは無料ストリーミングの検索を銀行詐欺に変える。

単なる注目以上のものを奪うストリーミングアプリ

ワールドカップの無料放送を探しているファンにとって、モバイル端末は最大の危険をもたらす可能性がある。

研究者たちは最近、UEFAチャンピオンズリーグ決勝戦の前後で、RojaDirectaなどの人気サービスを装った悪質な非公式ストリーミングアプリが急増したことを確認した。同様の活動はワールドカップ期間中にさらに激化すると予想される。

これらのアプリの多くは、MassivやPerseusといったマルウェアファミリーを含む、Androidバンキング型トロイの木馬と関連付けられています。これらのアプリはGoogle Playストアでは入手できないため、ユーザーはインストールする際にAndroidのセキュリティ警告を回避しなければなりません。

マルウェアはインストールされると、Androidのアクセシビリティサービスを悪用してデバイスを広範囲に制御します。攻撃者は、正規のアプリケーションの上に偽の銀行ログインページを表示したり、キー入力を記録したり、SMSメッセージや認証アプリからワンタイム認証コードを傍受したり、デバイスを遠隔操作したりすることができます。

ケルベロスというバンキング型トロイの木馬から流出したソースコードを用いて開発されたペルセウスは、さらに一歩進んで、メモアプリから保存されているパスワードや仮想通貨の復旧フレーズを探し出す。

正当な理由なくアクセシビリティ権限を要求するストリーミングアプリケーションは、重大なセキュリティ警告として扱うべきである。

ソーシャルメディアが狩り場と化す

ソーシャルメディアプラットフォームは、ワールドカップ関連の詐欺行為の主要な流通経路となっている。

研究者らは、FacebookとInstagram上で、偽のユニフォーム、偽のパニーニのコレクターズアイテム、フィッシングサイトなどを宣伝する、サッカーをテーマにした広告キャンペーンを55件以上発見した。広告インフラの分析により、これらの活動のいくつかは中国の業者と関連していることが判明した。

捜査当局はまた、1,700件以上の偽FIFAソーシャルメディアアカウントを特定しており、その約90%はFacebookとInstagramで運営されている。注目すべき事例の一つは、偽のFIFA求人広告やカレンダー招待状を利用して、応募者を偽のGoogleログインページに誘導するというものだった。

一方、盗まれたFIFAの認証情報はすでに犯罪市場で流通している。セキュリティ研究者らは、侵害された数十万のユーザーアカウントと4,600以上のFIFA関連のウェブアドレスを、Vidar、LummaC2、RedLineといった認証情報窃盗マルウェアファミリーと関連付けている。

開催都市における公共Wi-Fiのリスク

ワールドカップ開催都市における無線ネットワークは、新たなリスク要因をもたらす。

メキシコシティ、モンテレイ、グアダラハラで実施された調査によると、検出されたWi-Fiネットワークの10～12％が完全にオープンでセキュリティ対策が施されていないことが判明した。また、ほぼ半数でWi-Fi Protected Setup（WPS）が有効になっており、攻撃の機会がさらに増えている。

これらの脆弱性により、犯罪者は「悪意のある双子」ホットスポット、つまり正規のWi-Fiアクセスポイントを模倣し、ユーザーの通信を密かに傍受するように設計された悪質なネットワークを容易に展開できるようになる。

ファンと団体が身を守る方法

ワールドカップ関連の詐欺被害が発生する前に、いくつかの兆候を察知することで被害を特定できます。

• チケットはFIFA公式サイトからのみ購入し、広告や検索エンジンのリンクに頼らず、ウェブアドレスを手動で入力してください。FIFAアカウントで多要素認証を有効にし、仮想通貨での支払いを要求する販売者には注意してください。
• 非公式のストリーミングアプリ、特にアクセシビリティ権限を要求するアプリのインストールは避けてください。滞在都市で公共Wi-Fiを利用する際は、可能な限りモバイルデータ通信を利用し、銀行口座、メール、その他の機密性の高いアカウントへのアクセスは避けてください。

組織も重要な役割を担っています。セキュリティチームは、新たに登録されたFIFA関連ドメインを監視し、不正なログインページを検出し、Vidar、LummaC2、またはRedLineによる認証情報漏洩で情報が流出した従業員や顧客を特定し、大会期間中に増加するチケットに関する紛争やチャージバックに対応するため、不正対策チームを準備する必要があります。

まだ活動開始を待っている脅威

おそらく最も懸念されるのは、既知の不正なFIFA関連ドメイン約3,800件が、活動を停止した状態で放置されており、いつでも展開できる状態にあるという点だ。

フィッシングキット、自動ボット、盗まれた認証情報などが既に広く出回っていることから、研究者らは最もリスクの高い期間は6月11日から7月19日までになると予測している。この期間中、チケット、旅行手配、ストリーミングサービスの検索がピークに達し、サイバー犯罪者が活動を拡大するのに理想的な状況が生まれる。