主要AIサービスの広告管理を騙るフィッシング基盤が浮上、偽ログイン画面で認証情報やMFAをリアルタイム窃取

要点

• セキュリティ企業Islandの研究者により、著名AIサービスの広告管理ツールを偽装したフィッシング基盤の存在が公表された。

• ブラウザ内に偽の認証画面を描画する手法を用い、正規ドメインに見せかけてIDや多要素認証（MFA）コードを騙し取る。

• 人間のオペレーターが被害者の操作状況を監視し、表示する認証要求をリアルタイムで遠隔操作する仕組みを備える。

• 偽の招待メールから誘導されており、企業の採用詐欺や広告返金請求サイトと同一の基盤を共有していた。

• サイバーセキュリティ企業Islandの研究者らは2026年10月6日、Google GeminiやOpenAI ChatGPT、Anthropic Claudeなどの広告製品を騙る組織的なフィッシング基盤を確認したと報告した。キャンペーン最適化やアカウント連携を謳う偽ポータルサイトを通じ、利用者の認証情報や多要素認証（MFA）コードを窃取するという。背後にいるオペレーターが被害者の操作に合わせて認証画面をリアルタイムに切り替える対話型の仕組みが備わっていることが判明した。

著名AIブランドを装う偽の広告ポータル

Islandの研究者であるオレグ・ザイツェフ（Oleg Zaytsev）氏とオフェク・ロネン（Ofek Ronen）氏の報告によると、偽サイトはGoogle Gemini、Anthropic Claude、OpenAI ChatGPT、Perplexity、Meta Muse、Manusといった主要AIサービスを騙っていた。広告運用の最適化や費用監査、アカウント連携が可能であると謳い、利用者を信用させていたという。

具体例として挙げられたのが、2026年9月16日に出現した「museads.ai」というドメインだ。Meta社が個人向けAIエージェント「Muse」を発表した約1週間後に開設され、有料広告の管理ツールを自称していた。攻撃者はニュースや新サービスの発表動向に素早く便乗して偽サイトを用意していると研究者は指摘している。

ブラウザ内に偽画面を描画する「BitB」攻撃

偽サイト上の「Connect（接続）」ボタンをクリックすると、「Browser-in-the-Browser（BitB）」と呼ばれる手法で偽のログイン画面が表示される。これはWebブラウザ内部に、別ウィンドウのような偽のアドレスバーや入力枠を描画する技術だ。

画面上にはGoogle（accounts.google.com）やOktaの認証画面が表示され、アドレスバーにも正規ドメインが示されるが、実際のブラウザはフィッシングサイトに留まっている。利用者が入力した情報は攻撃者へ送信されるほか、アクセス時に端末情報（フィンガープリント）も収集され、通信プロトコル「Socket.IO」経由で攻撃者サーバーへ送られていた。

オペレーターが遠隔操作するリアルタイム認証

この基盤の大きな特徴は、自動処理にとどまらず人間のオペレーターがリアルタイムで介入する点にある。入力された認証情報を使って攻撃者が正規サービスへのログインを試みる間、オペレーターは被害者の進捗を見ながら次の画面指示を送っていたという。

ザイツェフ氏によると、遠隔コマンドを通じ、パスワードの再入力要求、SMSや認証アプリによる多要素認証の要求、Googleプロンプト（承認やQRコード、番号一致）、Oktaの各種認証画面を柔軟に切り替えていた。入力コードの却下や待機画面の表示、アクセスの遮断などもオペレーターが直接制御していたという。

ブランド別の宣伝文句と偽の招待メール

被害者の誘引には、公式ブランドを装った偽の招待メールが使われていたと分析されている。招待状の形式を取ることで信頼性を演出し、利用者をフィッシングページへと誘導していた。

さらに各サイトでは、標的サービスごとに異なる提案が用意されていた。ChatGPT向けにはGoogle広告ブリーフ作成、Gemini向けにはマネージャーアカウント対応、Claude向けには専用広告ポータル、Perplexity向けには費用監査、Manus向けにはMeta連携が謳われていた。各AIの利用者が関心を持つ実用的な機能を掲げることで、信憑性を高めていたという。

求人や返金請求とも共有される攻撃インフラ

Islandの調査によると、このAI広告ポータルは大規模なフィッシング基盤の一部に過ぎない。同基盤は3つのテーマで運用され、AI広告のほかにGoogle広告の返金請求を装うサイトや、テスラ、ルイ・ヴィトン、ナイキ、アデコといった著名企業を騙る採用関連サイトでも使われていたことが判明している。

これらの偽サイトはすべて「Next.js」と「Socket.IO」で構築され、共通のエンドポイントと通信していた。また、攻撃グループが設定ミスした公開GitHubリポジトリを通じ、プラットフォームの初期バージョンのソースコードを露出させていたことも確認されたと報告されている。