1. Google で買い物したことある人は、たぶん一度は見てる
Google で欲しい商品を検索していると、コメリのアイコンが付いたショップがずらっと並ぶことがある。「あ、コメリ関連ショップかな」と思ってクリックすると、値段がやたら安い。「これはお買い得！」でカートに入れて決済──。
商品は届かず、カード情報も流出。
これ、今 Google 検索で 相当な規模で起きている偽通販詐欺 の話です。しかも厄介なことに、アイコンがコメリだから安心、が完全に通用しない。今回はその仕組みと、実は 大きな打撃を与えられる方法 があるという話を、偽通販サイト検出サービス詐欺ダメ.comの実測データ付きで書いていきます。
2. まず、偽通販詐欺の全体像
偽通販詐欺は、単純に「攻撃者が自分でサーバーを立てて偽通販サイトを作っている」というものではありません。実測ベースで見ると、次のような 3 つの部品 で成り立っています。
- 踏み台：攻撃者に 乗っ取られた、世界中のサイト（中小企業、学校、NPO…）。または、期限切れの中古ドメインを買い戻したもの
- 親サーバー：踏み台にアクセスがあったとき、Bot か人間か・国はどこかを判定して振り分ける中継拠点
- 子サーバー：実際に偽通販のページを生成する終端
利用者が Google 検索経由で開いている URL は、ほぼ全部が 「踏み台」の URL です。ドイツの中小企業のサイトだったり、南米の学校のサイトだったり。普通であれば攻撃者本人のドメインを踏むことはまずない。
3. なぜ、海外サイトが日本の検索結果に上位表示されるのか
普通に考えて、ドイツの町工場のサイトが「工具 通販 最安値」で日本の Google の上位に出てくるのはおかしい。ここには クローキング という仕掛けがあります。
攻撃者は、乗っ取った踏み台の中に 日本語で書かれた大量の偽通販ページを仕込んでおきます。そして、アクセスしてきた相手が誰かを判定して、対応を分けます：
- 相手が Googlebot（Google の検索クローラ）→ 日本語の偽通販ページを配信
- 相手が 一般の人間 → 元の正規サイトのトップページを見せる、または子サーバーに転送
こうすると、Google からは「ここは日本の格安通販サイトなんだな」と認識される。一方、運営者本人が自分のサイトを開いても普通に元のサイトが表示されるので、運営者は乗っ取られていることに気付かない。
乗っ取りの入口としては WordPress の脆弱性が実測ベースで最多です。古いバージョンのプラグイン・テーマ・本体を放置した WordPress サイトが標的になり、wp-content/uploads/ 配下に大量の日本語 .phtml .shtml ファイルが投下されるパターンをよく観測します。
踏み台に選ばれる正規サイトは、大抵 10 年以上運営されていてドメイン年齢が高く、被リンクも豊富。SEO 的な信頼スコアが高いので、新規で作った日本の偽通販サイトよりも遥かに上位に出やすい。攻撃者はこの「他人のドメインの信用」を借りているわけです。
4. で、コメリのアイコンはどこから来ているのか
ここが今回の記事の核心。
favicon（サイトのアイコン画像）は、HTML に 1 行書くだけで他社のアイコンを表示させられる。
<link rel="icon" href="https://www.komeri.com/…/favicon.ico">
たったこれだけ。ブラウザは律儀にコメリ本家のサーバーから 本物のアイコンを取ってきて表示する。画像そのものはコメリ本物なので、見た目では見破れない。
つまり、Google 検索結果に並んでいる「コメリアイコン付きの謎ドメイン」は、コメリのアイコンを HTML から借りているだけの踏み台なのです。
favicon はドメインの本物性を証明する情報ではない。
5. 実測で確かめてみた
「本当にそんなにある？データで見せて」に応えるため、2 つの実測を実行。
【実測 1】DB 走査 → 0 件
詐欺ダメ.com が既に把握している偽通販サイト 11,864 ドメインの /favicon.ico を全部取ってきて、コメリの本物アイコンとハッシュ比較。
結果、一致 0 件。参照ブランド 18 社（楽天・Amazon・カインズ・DCM 等）どこも一致しなかった。
「え、検索結果に出てるけど？」となる。
【実測 2】発想を変える → 世界中で 126 件ヒット
「偽通販サイト側にファイルがない」なら、「コメリのリソースを 外から 読み込んでいるページ」を探せば良い。
urlscan.io という Web クロールデータベースで、そういうページを検索してみると 世界で 126 ホストがヒット。
ドイツ、オランダ、イギリス、インド、ブラジル、アルゼンチン、ギリシャ、南アフリカ…。
そのうち 120 サイトから実際に HTML を取ってきて中身を見ると、41% でコメリの本物 URL が埋め込まれていた（残りはアクセス拒否やクロークで空応答）。
そこには favicon だけでなく、CSS も JavaScript もコメリ本家から直接読み込む記述がずらり。ページ全体の「見た目の枠」と「動きの部分」を、丸ごとコメリ本家に寄りかからせている状態です。
| リソース種別 | 役割 | hotlink 検出サイト数 | 検出率 (対 120) |
|---|---|---|---|
| CSS | 枠・レイアウト | 48 | 40.0% |
| JavaScript | 動作 | 40 | 33.3% |
| favicon | アイコン | 8 | 6.7% |
| 商品画像 | 商品写真 | 1 | 0.8% |
商品画像はフリマサイトや大手 EC からのスクレイピングで集めているケースが大半。要するに 「枠だけコメリ、中身は他所から盗んで来た商品画像」というハイブリッド構成です。
これで【実測 1】 が 0 件だった理由も判明します。そもそも子サーバー（偽通販サイト）側のディスクに favicon.ico が置かれていないから、直接叩いても取れない。
ここまでで分かったこと
- 偽通販サイトは自前で favicon.ico を持たず、コメリ本家から HTML 経由で借りている
- そのため DB の
/favicon.ico直接走査では検出不能 - 世界 8 カ国以上・126 ホストで同一パターンを実測
6. なぜ「コメリ」なのか
「他にも有名 EC はいっぱいあるのに、なぜコメリ？」という疑問が当然出ると思います。攻撃者の動機を推し量ることはできませんが、実測から言える技術的な要素を並べておきます。
【実測】外部から読み込める設計になっている
-
コメリのリソースは Referer / hotlink protection が掛かっていない：外部から
<link>や<script>で参照してもコメリのサーバーは 200 で返してくれる（そういう設計の Web サーバーは、実は世の中に大量にある） -
CSS の構造が汎用 EC テンプレートに近い：
block_order.cssなどは商品一覧・カート・注文フローの見栄えを一括で作れる作りで、他のジャンルの偽通販ページにも流用しやすい - 日本語 EC のブランド認知度：ホームセンター最大手クラスの知名度があり、日本の消費者にとって「見慣れた安心感のあるアイコン」として機能する
これは 「コメリだけが標的」という話ではない ことも申し添えます。実測を横串で見ると、同種の hotlink 型キットは他の EC ブランドでも観測されており、コメリはたまたま今回のサンプルで最も件数が多かったブランド、という位置付けです。
【ここからは推測】「同一キットのテンプレ同梱説」との整合
SNS では「詐欺サイト作成キットの初期設定に、コメリのアイコンが直書きされたまま出回っているのでは」という観察が広まっています。実測データも、これと 整合的です：
- CSS 48 サイト / JS 40 サイトで hotlink 対象のパスが完全に一致（
/css/sys/block_order.css/lib/jquery.balloon.js等が全サイト同じ） - 同一の URL 文字列がテンプレートに直書きで焼き込まれている、と考えるのが自然
ただし、キットのソースコード自体を確認したわけではないため、ここは実測とは切り分けた推測として書いておきます。コメリという「ブランド選び」自体は、初代キットを組み立てた誰かの選択で、それを引き継いだ横流し・改造の連鎖の中で今も温存されている可能性が高い、と実測データからは推察できます。
7. 見分け方（利用者向け）
Google 検索でコメリのアイコンを見ても、まずは疑って掛かるのが安全です。
-
URL のドメインを見る。コメリ公式は
www.komeri.comこれだけ。他のドメインでアイコンだけコメリならまず疑う - 検索結果の URL が 見たこともない海外ドメイン（.co.uk / .de / .in / .br など）ならクリック前に一呼吸置く
- カートに入れた瞬間、URL が別ドメインに切り替わるなら確定でアウト
Chrome 拡張機能「weathercock-detector」
kawa-nobu 技術部門さん（@kw_nobu2）が、Google 検索結果からコメリのアイコンが付いた詐欺サイトを自動で非表示にする Chrome 拡張機能を公開されています。
Google で商品を検索して買い物をよくする方は、入れておくと余計なクリックを 1 個減らせるはずです。
8. この詐欺、実は一気に打撃を与えられます
コメリさんはこの問題を既に把握されていて、2025 年 10 月 10 日付で公式に注意喚起を出されています。ここで書くことは、その公式アナウンスに対して もう一歩踏み込んだ技術的な提案 です。
前章までで見た通り、偽通販サイトは 自分では favicon を持たず、コメリ本家からリアルタイムに読み込んで表示している。ということは──
コメリさんが自社の favicon.ico ファイルを差し替えれば、世界中の偽通販サイトの見た目が一斉に変わる。
具体的に：
- 今の場所（
/…/favicon.ico）のファイルを、「☠」や「🚫」の警告アイコンに差し替える - コメリ自社サイトが使う本物の favicon は、新しいパスに移す（例：
/assets/favicon-2026.ico） - コメリ自社サイト内の favicon を参照している部分を、新しいパスに変更
これで、世界中のコメリ顔の偽通販サイトが、その日から Google 検索結果でドクロマークになる。
- 利用者は検索結果の段階で「これヤバい」と分かる
- クリック数が激減して被害が止まる
- 攻撃者は世界中の踏み台の HTML を書き換えるハメになり、オペレーションが破綻する
ただし、これは「永続的な封殺」ではない
正直に書きます。攻撃者側も対応は可能です。踏み台の HTML の <link rel="icon"> の href を、別ブランドの favicon URL に書き換えれば、警告アイコンからは逃れられます。
とはいえ、書き換え作業は 世界に散らばる数百の踏み台すべてに対して個別に必要で、オペレーションコストは跳ね上がる。少なくとも「一晩〜数日単位で、コメリ顔の偽通販サイト群に大きな打撃を与えられる」ことは確実です。恒久解決ではありませんが、現状に対して非常に費用対効果の高い一手であることは間違いない。
もしコメリ関係者の方の目に、この記事が届くことがあれば嬉しいです。詐欺ダメ.com で観測しているデータや、実際に hotlink されている踏み台の一覧など、お役に立てそうな情報はいくつかありますので、必要でしたらいつでもお声掛けください。
なお、同じ話は CSS や favicon を悪用されている他の EC ブランドさんにも当てはまります。「もしかしてうちも…」と思われた企業の方がいらっしゃいましたら、こちらもお気軽にご連絡いただければと思います。
まとめ
- Google 検索でコメリのアイコンが並んでも、大半は乗っ取られた海外サイト（踏み台）
- アイコンはコメリ本家から HTML 1 行で「借りている」だけなので、見た目では見破れない
- 世界中で少なくとも 126 ドメインが該当。CSS も JS もコメリ本家に寄生している
- 利用者側の対策は「URL のドメインを見る」＋「weathercock-detector」の導入
- コメリさんが favicon を差し替えれば、コメリ顔の偽通販サイト群に一気に大きな打撃を与えられる（恒久解決ではないが、費用対効果は非常に高い）
favicon の "本物っぽさ" に騙されない、そんな検索を、日々の買い物のなかで意識してみてください。