米国、カナダ、メキシコで開催される「FIFAワールドカップ2026™」が近づいており、ファンの期待と熱気が日に日に高まっています。現在も多くのサッカーファンが、チケット、グッズ、観戦ツアー、VIPパッケージなどを探していますが、詐欺師はこうした需要を悪用する方法を熟知しています。

多くのファンはすでに、詐欺師に狙われやすい心理状態に置かれています。期待に胸を膨らませながらも焦りを感じており、チケットやグッズが売り切れてしまうかもしれないと不安に駆られていますが、こうした心理は詐欺に遭う要因となります。

ESETのラテンアメリカ地域の研究者は最近、まさにこの状況を悪用している複数のWebサイトを確認しました。これらのサイトは、FIFAやワールドカップ公式サイトを装い、チケットやグッズを探しているファンを標的としています。そして、偽の登録ページや決済フローへ誘導し、ユーザーの金銭や個人情報を盗み取ろうとします。しかも、その手順は本物のワールドカップ公式サイトとほとんど同じです。アカウント登録を行い、試合チケットやユニフォームなどのグッズをカートへ追加し、その後支払いへ進む流れになっています。

被害者の中には、検索広告を経由してこれらのサイトへ誘導される人もいれば、SNSの広告や、URLを十分確認せずに転送されたメール内のリンクをクリックしてアクセスしてしまう人もいます。どのような経路でアクセスした場合であっても、FIFAやワールドカップに便乗した偽サイトについて理解し、「オウンゴール」を防ぐことが重要です。以下に、その手口と対策を解説します。

確認された偽サイトの1つは、https://***fifa26[.]shopでホストされており、FIFAや2026年ワールドカップの公式サイトと思わせるドメイン名が使用されていました。これは、慌ててアクセスした利用者であれば見間違えてしまう可能性がある巧妙な名前です。このような手法はタイポスクワッティングと呼ばれます。これは、正規ドメインに似せるため、一部の文字を追加、省略、変更したドメインを使用し、ユーザーを欺く手法です。

さらに、こうした偽装はドメイン名だけにとどまりません。このサイトは、FIFA公式サイトのルックアンドフィールまでも模倣していました。配色、レイアウト、ナビゲーション、チケット購入フローなどを完全に再現し、ユーザーに「正規のサイトを利用している」と思い込ませようとしています。

参考のために正規のWebサイトを以下に示します。

再び偽サイトに戻りましょう。ここでチケットやグッズを「購入」しようとすると、何が起こるのでしょうか。この偽サイトは、本物のFIFA公式サイトと同様に、まずユーザーへアカウント登録を求めます。実際、チケット購入前にFIFA IDを作成する必要があると考えているユーザーにとって、この登録フォームは自然に見えるでしょう。このフォームでは、氏名、メールアドレス、電話番号など、一般的な個人情報の入力が求められます。本物のFIFA公式サイトを利用していると思い込んでいれば、特に不審とは感じにくい内容です。

公式サイトの登録画面を図5に示します。

さらに、この偽サイトでは、公式グッズを装った商品も販売されていました。狙いは、ユーザーに通常のオンラインショッピングをしていると思い込ませたまま、自然な流れで決済ページへ誘導し、警戒心を抱かせることなく支払い情報を入力させることです。

ユーザーは任意の商品を選択し、ショッピングカートへ追加できます。

しかし、ここでクレジットカード情報を入力すると、その情報はそのまま偽サイトを運営している犯罪者に渡ります。もちろん、FIFAからユニフォームが届くことはありません。

チケット購入のフローも正規のサイトを同じように模倣しています。登録後、偽サイトはワールドカップの試合を選択できるように見せかけ、そのまま決済ページへ誘導します。

ユーザーは、大会のどのステージの試合でも選択できます。

その後、ショッピングカート画面へ進みます。ここで入力された決済情報は、偽サイトを背後で操っているサイバー犯罪者へ直接送られます。

最も明確な被害は金銭的損失ですが、さらに深刻なのは、金融情報や個人情報の流出です。氏名、メールアドレス、電話番号、そして使い回しているパスワードは、こうした詐欺サイト以外でも悪用される可能性があります。もし同じパスワードをメールアカウントやSNSでも使用していた場合、この偽のFIFA登録サイトが、さらなるアカウント侵害の起点となり、より深刻で広範な被害につながる恐れがあります。

別の偽サイトhttps://****26-fifa[.]comも、ほぼ同じ手口を採用しています。ドメイン名にはワールドカップ関連の語句が含まれており、WebサイトのデザインにはFIFAの視覚的要素が流用されています。ユーザーは登録ページへ誘導された後、チケットやグッズを購入するように促されます。

これらの偽サイトは、メニュー構成や視覚的な各種の要素を含め、FIFA公式サイトをできる限り模倣するように作られています。また、トップレベルドメイン（TLD）も重要な役割を果たしています。例えば「.shop」や「.store」などのドメインは、公式ストアの関連サイトのような印象を与えやすく、URL内に「fifa」が含まれ、サイト全体の見た目も洗練されている場合、ユーザーは本物だと思い込みやすくなります。

重要なのは、FIFAが「ワールドカップのチケットは3つの公式チャネルでのみ販売される」と明確にしている点です。具体的には、FIFA公式のチケット販売サイト「fifa.com/tickets」、観戦ツアーやVIPパッケージ販売サイト「fifa.com/hospitality」、そしてカタール航空による特別ツアーパッケージ（すでに完売している可能性あり）のみが正規ルートとなります。したがって、第三者による転売サイトや、SNS上の販売投稿には近づかないことが重要です。

• 必ずFIFA公式サイトへ直接アクセスしてください。広告やSNS投稿、他人から送られてきたリンクを経由せず、自分でURLを入力するか、信頼できるブックマークを利用しましょう。「FIFA.com」や公式チケットポータルからアクセスしてください。
• 情報を入力する前にドメイン名をよく確認してください。文字の追加、不自然な単語、見慣れないドメイン末尾、微妙に異なるスペルなどが、偽サイトを見分ける数少ない手掛かりになる場合があります。
• 焦らせる表現を使った販売には注意してください。「残りわずか」、「VIPアクセス」、「特別割引」、「ラストチャンス」といった文言で判断を急がせる手口には警戒が必要です。冷静に確認する時間を奪うことが、攻撃者の狙いです。
• パスワードを使い回さないでください。偽の登録ページで盗まれたパスワードを、メール、SNS、ネットバンキングなどでも使っている場合、被害は偽サイトだけでは済まなくなります。
• 購入画面が存在する」があるからといって信用しないでください。ショッピングカートや決済フォームが正常に動作していても、正規の販売サイトとは限りません。
• すべてのアカウントを強固に保護してください。使い回していない強力でパスワードを設定し、二要素認証（2FA）を有効にしてください。また、すべてのデバイスにセキュリティソフトを導入することも重要です。

ワールドカップ開催が近づくにつれ、サイバー犯罪者にとっては、チケットやグッズ、直前の観戦機会を探している膨大なユーザーが「格好の標的」になります。今回確認された偽FIFAサイトは、そうした需要を利用し、ユーザーを自然な購入フローに見せかけたフィッシングへ段階的に誘導している実態を示しています。安全にワールドカップの観戦を楽しむためにも、十分にご注意ください。