「削除済み」に見えるフィッシングサイトを見抜く：再訪問者に偽の停止ページを出す Suspended
KELA が報告した金融詐欺インフラ「Suspended」は、初回アクセス時に訪問者の IP アドレスを記録し、同じ IP からの再訪問には Cloudflare 風の偽「サイト停止」ページを返す。一度だけリンクを踏む被害者には偽ログイン画面が出る一方、確認のため何度もアクセスする調査者や削除代行業者には「もう止まった」ように見える。
規模
- 10 月 25 日時点で、米国の銀行・金融サービス 189 社になりすました 248 ドメインがひも付く。2026 年 5 月以降、300 を超える詐欺ドメインがこのインフラでホストされ、キャンペーンは続いている。
調査・削除対応をする側の対策
- 最初の 1 回目のアクセスでページ本体（スクリーンショット、HTML、レスポンス）を保存する。2 回目以降の結果を根拠にしない。
- 「停止ページが出た」ときは、別の IP（別の回線、プロキシ、サンドボックスの出口）からもう一度確かめてから「削除済み」と判断する。
- 停止ページそのものが本物か確かめる。Cloudflare などの本物の停止表示なら、ホスティング側やレジストラ側でも停止状態になっているはず。DNS がまだ生きていて応答も返るなら、偽装を疑う。
- 社内の報告フローでも、利用者から届いたリンクを複数の担当者が同じ社内回線から開くと全員が停止ページを見ることになる。調査用の出口を分けておく。
利用者向け
- 金融機関を名乗るメールや SMS のリンクからはログインしない。ブックマークや公式アプリから入る。