ワールドカップでも多発したネット詐欺、偽チケット販売や偽無料配信から身を守る方法

「FIFAワールドカップ2026」が7月19日に閉幕しました。決勝ではスペインが延長戦の末にアルゼンチンを1－0で下し、16年ぶり2度目の優勝を飾りました。早朝からの観戦で寝不足の日々を過ごした方も多いのではないでしょうか。世界中が熱狂した1カ月あまり、サイバー犯罪者も大会に便乗して活発に動いていました。

　トレンドマイクロが7月24日に公開したレポートによると、2026年上半期に「fifa」「worldcup」というキーワードを含む詐欺・フィッシングなどの不正・不審なサイトが3万5538件確認され、日本国内からのアクセスは約148万件に上りました。

　ワールドカップは終わりましたが、こうしたイベントに便乗した詐欺が登場するのは、ワールドカップだけではありません。サイバー犯罪者は大規模なイベントのたびに、同様の詐欺を繰り返しているのです。ただし、手口にはある程度の共通性があります。今回確認された手口を知っておくことで、被害を回避できる可能性が高まります。

グッズやチケットの偽販売サイトは、ワンタイムパスワードまで狙う

　今回のワールドカップに伴い多数確認されたのが、偽のショッピングサイトです。トレンドマイクロは2026年上半期に、「FIFA」や「ワールドカップ」「W杯」「日本代表」というキーワードを含む偽ショッピングサイトを6251件確認しました。

　そうしたサイトにはユニフォームや応援グッズが並んでいますが、代金を支払っても商品が届かないほか、偽物や粗悪品が送られてくるケースもあります。検索結果で偽サイトを上位に表示させるSEOポイズニングという手法によって誘導されるため、普段どおり検索しただけでもたどり着いてしまう可能性がある点が厄介です。

　チケット詐欺も起きています。観戦チケットを扱う「FIFA公式ホスピタリティサイト」を、ほぼ完全に複製した偽サイトが確認されました。ロゴやデザインを似せるだけでなく、公式サイトのサーバーから動画や画像を直接読み込み、公式SNSや規約文書へのリンクまで掲載して本物らしさを演出していました。自動翻訳機能も組み込まれ、日本語でも表示できるようになっていたそうです。偽のログインページにメールアドレスとパスワードを入力すると、認証情報はそのまま攻撃者の手に渡ります。

　決済画面まで進むと、クレジットカード情報も盗み取られます。この偽サイトでは、入力されたクレジットカード情報を攻撃者がリアルタイムで受け取り、別のサイトで不正決済を試みます。すると、利用者のスマホには、クレジットカード会社から本人確認用のワンタイムパスワード（認証コード）がSMSで届きます。購入手続きの確認だと思ってその認証情報を偽サイトに入力すると、攻撃者が別のサイトにそれを入力して不正決済を完了させます。利用者自身に認証情報を偽サイトに入力させることで、本人確認の仕組みを突破する手口です。決済時にSMSなどで届くワンタイムパスワードを入力する際は、SMSに記載されている金額などが、自分が今購入しようとしている商品と一致しているかを確認する習慣を付けてください。

　米連邦捜査局（FBI）も今年5月、FIFA公式サイトを装う偽ドメインへの注意喚起を出しています。「fiffa」のようにつづりを1文字増やしたり、「wvvw-fifa」のように「w」を「vv」に置き換えて「www」に見せかけたりと、一見しただけでは気付きにくい偽ドメインが多数確認されました。検索結果の上部に出る「スポンサー」枠の広告が偽サイトへの入り口になることも（…続きを読む）。