Yahoo!ニュースのトピックスを悪用するヤフトピスパマーの手口と正体を暴く

Yahoo!ニュースのトピックスに掲載されてリンクされると、俗に言うところの「Yahoo砲」（Yahoo!からの流入者が爆増してサーバが重くなったり落ちたりする現象のこと）を食らうわけですが、このトピックスページを悪用しているトラックバックスパマー、通称「ヤフトピスパマー」がいることがわかりました。

しかもただのスパムではなく、あとでGoogleなどから検索すると、スパムによる影響がわかるように文字列を工夫しており、どれぐらいの被害が出ているかが一目でわかるという珍しいスパマーです。

というわけで、いろいろと調査して判明したことを以下にメモしておきますので、同様の事例で困っている方は参考にしてください。
■ヤフトピスパマーの手口

まずこのヤフトピスパマーは以下のページに常駐し、「主なトピックス」を見張っています。

Yahoo!ニュース - トピックス 速報と関連リンクで世の中が分かる
http://dailynews.yahoo.co.jp/fc/

新しいトピックスが到着するとその記事中にあるリンク先を訪問し、トラックバックできるかどうかを確認。トラックバックが可能であることがわかると、あらかじめ開設しておいた複数のスパム送信用ブログからトラックバックスパムを送信、スパムが表示されているかどうかをちゃんと確認するという手順を踏んでいます。

■ヤフトピスパマーの奇妙な特徴

ヤフトピスパマーのトラックバックスパムは非常に特徴的で、どういうわけか最近は広末涼子が大好きらしく、いつも以下のような記事を作成しています。

例1：

離婚！広末涼子に衝撃の事実！都内ラ.ブホ.テルで・・・。

例2：

離婚！に衝撃の事実！都内ラ.ブホ.テルで・・・。

例3：

●離婚！広末涼子に衝撃の事実！都内ラブホ.テルで・・・。

以前は別の女優名で流出動画がどうこうとか、盗撮映像がとか、とにかくそういう系の記事タイトルを作成して釣る傾向が強いようです。

また、よく見るとわかるのですが記事タイトルの「ラブホテル」の部分において「ラ」と「ブ」の間に「.」を入れるなどの工夫をして独自の文字列を生成することをいつも心がけており、Googleなどで検索するとその被害の大きさとともに、いつ頃からやっているかなどがすぐに把握できるようになっています。

例1と例2の「都内ラ.ブホ.テル」によるGoogleの検索結果：約1万7300件

例3の「都内ラブホ.テル」によるGoogleの検索結果：約20万8000件

■ヤフトピスパマーの正体を探る

アクセスログなどを解析したところ、スパムの送信はローカルから一斉に送信しているわけではなく、手動で行っており、各スパム送信用ブログのトラックバック送信機能を利用していることがわかりました。そのため、アクセスログを見ても残っているのは各ブログのトラックバック送信用のIPアドレスだけで、その発信元であるヤフトピスパマーの所属するプロバイダまではつかめないというのが実情でした。

しかし数々の調査の末、ようやくこのヤフトピスパマーの所属するプロバイダを突き止めることに成功、このヤフトピスパマーはプロバイダとして「OCN」を利用していることが判明したため、OCNインターネットセキュリティ担当者に2008年3月26日にメールで証拠となるログなどを揃えて通報したところ、特定され、警告などの措置が行われました。

これで止まるのかと思いきや、2008年4月8日になっても一向にスパムトラックバックが止まっていないため再度調査したところ、現時点でもこのヤフトピスパマーはプロバイダとして同じ「OCN」を利用していることが判明。先ほど、OCNインターネットセキュリティ担当者に2008年4月10日本日付で、証拠となる各種ログなどを揃えて再度通報しておきました。

ちなみにこのスパムのリンク先に行くと最終的には以下のようなワンクリック詐欺のページにたどり着きます。

つまり、このヤフトピスパマーの正体はワンクリック詐欺業者。これも通報しておきました。一体これまでの間にどれだけの収益を上げていたのでしょうか……気になるところです。