FC東京の公式サイトのURLのまま、詐欺サイトへ。サーバーに入られなくても、古いパノラマのページが入口になった

• FC東京の公式サイトで、味の素スタジアムの席割図（座席の360°パノラマビュー）のページが第三者に悪用され、fctokyo.co.jpのURLのまま無関係の内容が表示されたり、外部のサイトへ自動で転送されたりしていた。転送先は詐欺サイトなどの可能性がある
• 期間は2026年9月13日19時53分ごろ〜10月26日11時ごろ。検索結果に、fctokyo.co.jpで始まる不審なリンクが出ていた
• クラブは、サーバーへの侵入を伴うものではないとし、個人情報の流出は確認されていないとしている。パノラマのページは公開を終了した

発表されたこと

FC東京の10月26日のお知らせによると、公式サイトの一部のページで使っていたプログラムを第三者に悪用された。

「入られていない」のに、なぜ起きるのか

クラブは、使っていたプログラムの名前や、悪用された仕組みの詳細は明らかにしていない。ここでは、同じ種類の手口として知られているものを紹介する（FC東京の件と同じものだとは確認されていない）。

2025年2月、セキュリティ研究者のOleg Zaytsev氏が、「360XSS」と名付けた大規模な悪用を報告した。360°のバーチャルツアーを作るソフトkrpanoの古い脆弱性（CVE-2020-24901）を突いたもので、政府、大学、報道機関、大企業など350を超えるサイトで、正規のドメインのままスパム広告や不審なページを表示させていたという。

仕組みはこうだ。

• パノラマのページは、URLに付けた値で、どの設定ファイルを読むかを変えられる作りになっていることがある
• 攻撃者は、その値に自分の用意した設定やスクリプトを指定した細工したURLを作る
• そのURLを開くと、正規のドメインのページの中で攻撃者の内容が動く。サーバーのファイルは書き換わっていない
• 細工したURLを大量に作って検索エンジンに拾わせる。信頼されたドメインなので、検索結果の上位に出やすい（SEOポイズニング）

krpanoの開発元は1.22.4版で、URLの値から外部のファイルを読めないようにする修正を入れた。利用者には、最新版への更新と、URLの値を設定に渡す「passQueryParameters」を無効にすることが勧められている。

見た人がやること

FC東京のお願いは次のとおり。

1. 公式サイトのURLであっても、検索結果やSNSでいつもと違うタイトルや不審な文字列のリンクは開かない
2. 転送先の不審なサイトでカード情報を入れた人は、すぐカード会社へ
3. IDやパスワードを入れた人は、同じものを使うほかのサービスも含めて変更
4. 氏名や電話番号を入れた人は、不審なメール・SMS・電話に注意
5. クラブからのお知らせは、公式サイトのトップと公式Xで確かめる

「公式のドメインだから安全」とは限らない。URLの後ろに見慣れない長い文字列が付いていたら、まず疑いたい。

サイトを持つ側が見直すこと

ここは筆者の見方だ。今回のようにサーバーに入られていなくても、サイトの信用は使われてしまう。しかも、気づくまでに1か月半かかっている。

• 古い部品を棚卸しする。パノラマ、スライダー、ギャラリー、地図、昔のキャンペーンページ。作った当時のまま更新されていないJavaScriptの部品は、今回のような入口になりうる。使っていないものは消す
• 検索結果を定期的に見る。Google Search Consoleで、見覚えのないURLが登録されていないか、検索のキーワードに無関係な言葉（ギャンブル、成人向け、薬など）が出ていないかを確かめる。「site:自分のドメイン」で検索するだけでも分かることがある
• URLの値で、読み込むファイルを変えられる作りは避ける。どうしても必要なら、読み込める場所を自分のサイトの中に限る
• 制作会社に任せたページほど忘れられやすい。誰が更新の責任を持つのかを決めておく

今週はStudioのフォームやツクツク!!!の入力画面のように、サイトの一部分が入口になる事件が続いた。サイト全体ではなく、部品ひとつずつの点検が要る。

まとめ

• FC東京の公式サイトのパノラマビューのページが悪用され、公式のURLのまま無関係の内容表示・外部への転送。9月13日〜10月26日
• サーバーへの侵入はなく、個人情報の流出は確認されていない。ページは公開終了
• パノラマのソフトkrpanoの古い脆弱性を使った「360XSS」という同じ種類の手口が知られている（FC東京の件との関係は未公表）
• サイトを持つ側は、古い部品の棚卸しと検索結果の定期的な確認を

出典

• FC東京「【重要】当クラブ公式ホームページにおける不正な表示・転送に関するお知らせとお願い」（2026年10月26日）
• SecurityWeek「Sites of Major Orgs Abused in Spam Campaign Exploiting Virtual Tour Software Flaw」（2025年2月。Oleg Zaytsev氏による360XSSの報告）
• NVD「CVE-2020-24901」（krpanoのクロスサイトスクリプティングの脆弱性）
• krpano Forum「Warning if still using passQueryParameters:true」（開発元の注意）

本記事は2026年10月27日時点の公式発表に基づく。FC東京が使っていたソフトや悪用の詳細は公表されておらず、360XSSとの関係は確認されていない。「サイトを持つ側が見直すこと」は筆者の見方である。