『ドラゴンクエストRPG 魔界樹と導かれし島』の検索結果に不審なサイト ― 正規ドメインを踏み台にするSEOポイズニングの仕組みと対策
2026年11月9日に発表された『ドラゴンクエストRPG 魔界樹と導かれし島』について、タイトル名で検索すると作品と無関係な企業サイトのURLが検索1ページ目に現れ、クリックすると別のサイトへ飛ばされる、という指摘がX上で出ています。これは新作ゲームのサイトが偽物に差し替えられたのではなく、無関係な正規サイトに残っていた脆弱性を使い、話題のキーワードで検索上位に居座る「SEOポイズニング」という古くからある手口です。公式情報はスクウェア・エニックスの公式YouTubeと公式Xアカウントで確認し、検索結果に出てきた見慣れないドメインは開かないのが安全です。
検索結果で起きていること
指摘したのは、Webセキュリティ分野で知られるはまちや2氏（@Hamachiya2）です。同氏は、作品名での検索結果1ページ目に無関係なホテル系サイトのページが表示され、そのサイト内のパノラマビューワーのパラメーターに不正なコードが仕込まれて訪問者が別サイトへ転送されている、と投稿しました。ドメインを乗っ取ったわけでも、サーバー上のファイルを書き換えたわけでもない点が特徴です。同氏はその後、検索インデックスには残っているものの該当ページは削除されたようだとも投稿しています。
この手口について、SEOの専門家である辻正浩氏（@tsuj）は、注目度の高いイベントのたびに繰り返されてきたもので、2026年のワールドカップでも同じ「krpano」の脆弱性が大手サイトで悪用されていたと指摘しています。実際、2026年6月のワールドカップ期間中には、［ワールドカップ 中継］などの検索でトップニュース枠が自治体や大学を名乗る偽のライブ配信ページに占拠され、クリックすると配信サービスを装うページで氏名やクレジットカード情報を求められる事例が記録されています。
仕組み：krpanoの設定一つで「URLだけ」で乗っ取られる
悪用されているのは、360度パノラマや館内のバーチャルツアーを表示するフレームワーク「krpano」の反射型XSS（URLなどに仕込んだスクリプトがそのページ上で実行される脆弱性）です。2020年にCVE-2020-24901として公開されています。
原因は passQueryParameters という設定です。これを有効にすると、URLのクエリ文字列がそのままビューワーの変数として渡されます。その中には設定ファイルの場所を指す xml が含まれるため、攻撃者が用意した外部XMLを正規サイトのビューワーに読み込ませられます。krpanoのXMLはデータではなく動作を記述できる仕様で、JavaScriptを実行するアクションも持つため、結果として正規ドメインのオリジン上で任意のスクリプトが動きます。サーバーには一切侵入せず、配信されるファイルも従来のままという点が、発見と対処を遅らせる要因になっています。
研究者Oleg Zaytsev氏が2025年2月に公表した「360XSS」の調査では、政府系ポータル、州政府サイト、米国の主要大学、ホテルチェーン、報道機関、Fortune 500企業など350以上のサイトが踏み台にされ、アダルト、ダイエット、オンラインカジノなどの誘導に使われていました。CNNのドメイン上に偽の記事ページを表示させる例もあり、単なるリダイレクトにとどまらない悪用も確認されています。
修正済みなのに被害が続く理由
krpano側は対応を終えています。1.20.10で passQueryParameters が許可リスト方式になり、Zaytsev氏の報告を受けた1.22.4では xml パラメーターによる外部設定の読み込み自体が廃止されました。それでも被害が続くのは、修正の適用が個々のサイト運営者任せだからです。2026年9月にはセキュリティ研究者Scott Helme氏が、CSPレポートを通じて同じkrpanoの悪用が続いていることを報告し、2025年4月から中継ドメインを次々に乗り換えながら稼働している様子と、1年近く設定が直らないまま残っているサイトの存在を指摘しています。
加えて、Googleがこうしたページをスパムと判定して検索結果から取り除くまでには数日かかることが多く、発表直後や試合当日のように検索が数日に集中する場面では、その遅れがそのまま被害につながります。攻撃側が「旬のキーワード」を狙うのは、この時間差が最も効くからだと考えられます。
検索する側がとるべき行動
新作の情報は、スクウェア・エニックス公式YouTubeチャンネルと公式X（@DQRPG_JP）など、発表元の経路から確認する。アナウンストレーラーは2026年11月10日20時にYouTubeでプレミア公開される予定です
検索結果のタイトルや星評価は攻撃者が自由に作れます。ドメイン名を見て、作品と無関係な組織（ホテル、自治体、大学など）であれば開かない
事前登録や「先行配信」をうたうページで、メールアドレス・パスワード・クレジットカード情報を入力しない
専用アプリやブラウザ拡張機能の導入を促されたら中断する
開いただけで情報が盗まれることは基本的にありませんが、入力してしまった場合はカード会社への連絡とパスワード変更を速やかに行う
サイト運営者がすぐ確認すべきこと
自社サイトにバーチャルツアーや360度画像を設置している場合、krpanoが使われていないかを最初に確認してください。制作当時のテンプレートのまま放置されているケースが多く、HTMLの embedpano() 周辺で passQueryParameters を検索し、true なら false に変えるだけで、どのバージョンでもこの攻撃経路は塞がります。クエリパラメーターが必要な場合は使う名前だけを許可リストに入れ、xml と pano は決して含めないでください。そのうえで本体を1.22.4以降へ更新します。
踏み台にされていないかの点検は、Search Consoleで次の順に見るのが現実的です。「セキュリティと手動による対策」にハッキングされたコンテンツや不正なリダイレクトの指摘が出ていないか、「ページ」で身に覚えのないURLが急増していないか、「検索パフォーマンス」に無関係なクエリや外国語のクエリが現れていないか。［site:自社ドメイン］での検索も、クローキング（検索エンジンにだけ別の内容を見せる手口）で管理者のブラウザからは異常が見えない場合の補助になります。
悪用が見つかったら、原因のページやツールを止めて増殖を止め、Search Consoleの削除ツールで該当URLを一時的に非表示にしたうえで、恒久対応として404／410またはnoindexにします。一時的な非表示は約半年で切れるため、これだけで終わらせないことが重要です。警告が出ている場合は、原因を取り除いてから再審査をリクエストします。XSSそのものの予防は、IPA「安全なウェブサイトの作り方」にある出力時のエスケープと入力値の検証という基本に戻ることになります。
なお、この攻撃で損をするのは検索ユーザーだけではありません。大量に生成された偽ページがスパムと判定されれば、正規のページが検索結果に出にくくなり、ブランドへの信頼も傷つきます。外部の表示系ライブラリは「動いているから触らない」で放置されがちですが、導入時のバージョンと設定を棚卸しする対象として扱うべきです。
結び
今回のようにタイトル発表直後の数日は、検索キーワードが一点に集中し、この手口が最も効きやすいタイミングです。情報を追う側は公式の経路だけを使い、サイトを運営する側は自社に360度ビューワーがあるかどうかと passQueryParameters の値を今日のうちに確認してください。確認そのものはページのソースを読むだけで済み、修正は設定一語の変更から始められます。
出典
この記事に関連するchot Inc.の解説
Webサイトで扱う情報を守るには、日々の運用ルールに加えて、CMSやホスティングの構成から見直すことが有効な場合があります。従来型のCMSとヘッドレスCMSで対策の考え方がどう変わるかはヘッドレスCMSとは｜従来CMSとの違い・メリット・デメリットで、生成AIをWebサイトに組み込む際の注意点は生成AIをWebサイトに組み込む際のセキュリティで解説しています。
