TikTok ビジネスアカウントを狙うサイバー攻撃-アカウント乗っ取りでマルバタイジングや不正広告に悪用される恐れ

セキュリティ企業Push Securityは2026年3月26日、企業のマーケティング担当者が利用するTikTok for Businessアカウントを標的とした新たなAITM（Adversary-in-the-Middle）フィッシングキャンペーンを検出・報告しました。

このキャンペーンの最大の特徴は、多要素認証（MFA）を突破できるリバースプロキシ型フィッシングキットの使用と、Google SSOを経由した連鎖的なアカウント乗っ取りにあります。TikTokアカウントと紐づいたGoogleアカウント（Google Ad Manager含む）まで一度に奪取される可能性があり、企業の広告予算が丸ごと悪用されるリスクがあります。

概要

Push Securityのレポートによると、このキャンペーンで使われたフィッシングページ群は2026年3月24日に9秒の間にまとめて登録され、Cloudflareの背後で運用されていました。ドメイン登録にはNicenic International Groupが使われており、Pushはこのレジストラが大量のフィッシング用ドメイン登録で悪用される例があると指摘しています。攻撃ページは welcome.careers 系の命名規則を使い、TikTok for BusinessやGoogle Careersの面談調整ページを装っています。

攻撃フローもかなり作り込まれています。被害者がリンクを踏むと、最初に正規のGoogle Storage URLを経由してから、Cloudflare Turnstileによるボット判定画面が表示されます。その後、TikTok風またはGoogle風のページで基本情報の入力を求められ、最後に認証情報を盗むためのAiTMログイン画面へ誘導されます。Push Securityは、この流れが自動解析やセキュリティ製品による検知を妨げる設計になっていると説明しています。

特に注目すべきなのは、偽のTikTok for Businessログイン画面で Log in with TikTok ではなく Log in with Google を前面に出している点です。Pushは、入力欄に業務用メールアドレスらしい形式を要求するバリデーションも確認しており、個人利用者ではなく、広告運用や事業アカウントの担当者を意識して絞り込みをかけているとみられます。

 攻撃フローの詳細：5段階の罠

Push Securityの分析によると、被害者は以下のステップで罠に誘導されます。

なぜTikTokビジネスアカウントが狙われるのか

一見すると、企業アカウントを狙うならGoogle WorkspaceやMicrosoft 365の方が自然に見えます。しかしPush Securityは、TikTokアカウントがすでにマルウェア配布や詐欺導線に悪用されてきた土壌があると指摘しています。実際、TikTok上では過去に偽の操作ガイド動画を使って情報窃取型マルウェアを配布する事例や、著名人をかたる暗号資産詐欺の導線が確認されてきました。ビジネスアカウントが奪われれば、広告配信の正当性と到達範囲を一気に悪用できるため、攻撃者にとって非常に効率がよい標的です。

Google SSO連携による被害の連鎖

本キャンペーンで最も深刻なリスクは、Google SSO（シングルサインオン）を経由した被害の連鎖です。Push Securityはこの点を特に強調しています。

これは「1回のフィッシング → TikTok広告 + Google広告 + 関連SaaS全て」という被害連鎖であり、企業にとって壊滅的なダメージをもたらしえます。Push Securityによると、このパターンはすでに「Scattered Lapsus$ Hunters」によるAITMフィッシング攻撃でも標準的な手口として確認されています。

情報システム部門が取るべき対応

まず必要なのは、TikTokを広報ツールではなく広告基盤として扱うことです。Business Centerは、企業やブランドのビジネスそのものを変更、削除し、メンバーや資産を追加、削除できる権限を持つとTikTok自身が説明しています。つまり、ここが奪われると投稿だけでなく、広告運用体制や委託先との関係まで崩される可能性があります。広告運用部門や外部代理店任せにせず、情シスやセキュリティ部門の統制対象へ入れるべきです。

実務上は、Business Centerの管理者を絞り込み、全メンバーに2段階認証を必須化し、メールドメイン許可リストを使って招待可能なドメインを制限することが第一歩です。あわせて、Googleログインを使っている運用者がいるなら、Google側の保護もTikTokと同じ優先度で見直す必要があります。Push Securityは、Google経由でログインしている利用者ではTikTokとGoogleの両方が一度に危険にさらされると警告しています。

参考

•  Push Security 公式ブログ「Business TikTok accounts targeted with AITM phishing kits」（Dan Green, 2026年3月26日）

関連記事

シングルサインオン（SSO）とは 概要や必要性を解説 FortinetのSSO 脆弱性、公開直後から悪用を確認(CVE-2025-59718,CVE-2025-59719) CrowdStrike(クラウドストライク)、内部情報をハッカー グループへ漏洩した社員を解雇 Googleが警告、ShinyHuntersがボイスフィッシング(ビッシング)を起点としてSaaSへ不正アクセス サイバー攻撃の事例【2023年】 Microsoft Defender for Endpointとは Microsoft純正のEDRについて解説 VS Codeの主要な拡張機能4件で危険性のある脆弱性-最大1.2億に影響(CVE-2025-65717,CVE-2025-65715,CVE-2025-65716) Dell Storage Managerに深刻な認証回避の脆弱性（CVE-2025-43995）-未認証で管理APIに到達の恐れ クラウドストレージ料金未払いを装うフィッシングメールが急増

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)