Google検索結果を操作する360XSS脆弱性攻撃

現在Googleに360XSSの脆弱性攻撃が話題になっているようです。特定のキーワードでGoogleのトップページに公開される有名機関（大学、メディア、政府機関など）のサイトURLをクリックすると、奇妙なサイトに移動したり、操作されたコンテンツ（偽のニュース）が表示されることがあります。イェール大学、CNNなど多くのサイトが3600XSS脆弱性攻撃の被害を受けたそうです。

Google検索結果を操作する360XSS脆弱性攻撃

ノーマルと呼ばれるセキュリティ関連の情報を扱うYouTubeチャンネルで、360XSSの脆弱性攻撃に関するビデオが登場し、ここで共有します。

世界的に注目されている360XSS脆弱性攻撃は、Krpanoフレームワークの入力検証欠落脆弱性（CVE-2025-360XSS）を悪用した大規模なクロスサイトスクリプティング（XSS）キャンペーンで、攻撃者は悪意のあるJavaScriptコードを挿入して被害者など洗練された技術を使用しました。

この攻撃は、米国政府ポータル、有名大学、主要ホテルチェーン、マスコミなど350以上の信頼できるウェブサイトに感染し、検索結果の操作を通じて悪質なコンテンツが流布されたという。特にSEO最適化技術を活用して操作されたページを検索結果上位に露出させることでダメージが広がりました。

たとえば、下の図に示すように、360XSSセキュリティ脆弱性攻撃を受けたCNNサイトでは、「カジノ」関連コンテンツがGoogleの検索結果の上部に公開されています。

セキュリティ脆弱性攻撃に悪用された krpanoライブラリは、主にパノラマ画像と360度のビデオをWebやモバイル環境で表示するために使用される強力な仮想現実（VR）ビューアライブラリと呼ばれています。

長い間、検索エンジンの上部に公開されているサイトを使用して自分のサイトが公開されるように（つまり、Googleまたは Naver 上部に公開されている競合他社のURLをクリックすると、自分のサイトに移動することができるかどうかについて質問がありました。そんな行為自体が違法であるようで、さらに私はそのようなことについて全く知識がなかったので当然拒絶しました。

おそらく、360XSSのようなセキュリティ脆弱性を悪用して、検索がうまくいくサイトに編成して自分のサイトに移動するようにするのではないかと思われます。

たまに WordPress サイトがマルウェアに感染し、Googleなどの検索エンジンに奇妙なコンテンツが公開されることがあります。