ゲーム「フォートナイト」に便乗した詐欺が横行、その巧みで鮮やかな手口
いま、世界一の人気を誇るゲームは「フォートナイト」である。そうなると、便乗した詐欺が大きな利益を生むのも当然だろう。そうとわかっていても、偽物の多さやその模倣の巧みさを見ると、やはり驚かされる。
フォートナイトのローンチ以来、その人気に乗じた詐欺がインターネットにはびこっている。サイバーセキュリティ会社のゼロフォックス（ZeroFox）が発表した報告書からは、ソーシャルメディアやYoutube、何千ものドメインを介して、こうした詐欺が急増した状況が明らかになっている。
大量の詐欺ドメインや誘導リンク
「詳細な調査を開始してまもなく、当社は多くのことを突き止めました」と、ゼロフォックスで脅威対応担当ディレクターを務めるザック・アレンは言う。
彼の言う「多くのこと」を具体的に数字で示そう。まず、フォートナイト便乗詐欺専門の有効なドメインは、4,770以上ある。悪質なリンクを貼ったYoutube動画のうち、総再生回数が数百万に達するものは1,390本。ソーシャルメディア上では、詐欺サイトへ誘導するリンクが毎日何百万も流れている。
その多くが、アイテム購入やアップグレードに必要なゲーム内通貨「V-Bucks」を巡る詐欺だ。フォートナイトは基本プレイ無料のゲームだが、運営元のエピックゲームズは5月までに10億ドルもの収益を上げたという。そのうちのかなりの額が、アプリ内課金からくるものだ。
詐欺師らは通常、正規の金額を払いたがらない人々を誘い込もうとする。そして「V-Bucksジェネレーター」なるものや、偽のクーポンを提供する代わりに、個人情報やクレジットカード番号、あるいは詐欺師らに利益が発生する広告クリックを要求するのだ。
「いちばん驚いたのは、一部の詐欺サイトがかなり本格的につくりこまれていたことです。彼らはさまざまなスキルを使ってV-Bucksサイトをデザインしていました」と、アレンは話す。「合法サイトらしい見た目をしていて、ユーザーエクスペリエンス（UX）も素晴らしかった。よく調べてみると、利用者に合法と非合法の区別が非常につきにくくなるようつくられていたのです」
なかには合法であると装うだけでなく、盛況であるように見せかけようと巧妙な策略を仕掛けたものもある。フォートナイトファンを装ういんちきメッセージが画面上に現れたり、満足したという偽の顧客の声でコメント欄が埋め尽くされていたりするのだ。
詐欺サイトでは、偽のコメント欄を設けるなどしてユーザーを巧みに騙そうとしている。IMAGE COURTESY OF ZEROFOX
サイトをHTTPS化して安全を装う
また、詐欺サイトのドメインは、米非営利団体ISRGが運営する無料SSL認証局「Let’s Encrypt」からセキュリティ証明書を発行されていることが多かった。しかし、それは単にそのサイトが暗号化接続を提供しているという意味でしかない。
詐欺師がよく使うテクニックだ。こうすれば、実情がどうであれ、どんなサイトも安全に見えてしまう。
「問題はフィッシングサイトが証明書を取得し、HTTPSを使用していることではありません」と、Let’s Encryptの局長であるジョシュ・オースは指摘する。
「HTTPSはフィッシングサイトを含むすべてのウェブサイトが使用すべきです。問題は、ブラウザーにロックアイコンが表示されると誤解を招く恐れがあることです。一部の人はロックアイコンを『サイトの内容が安全、または信頼できるというサイン』であると間違って解釈してしまう。でも、接続が安全であることとサイトが安全であることは、まったくの別問題なのです」
ゼロフォックスが追跡したフォートナイト便乗詐欺は、複数の手段を連携させたアプローチにも長けていた。
「興味深かったのは、ソーシャルネットワークからソーシャルネットワークへとリダイレクトするものです。Facebookの投稿からYouTubeの動画へ、そこからフィッシングまたは詐欺ドメインへとリンクする例を山ほど見ました」とアレンは語る。「いくつものサイトをリンクさせて、合法的な印象を強めようとしているようです」
まだまだ増える便乗詐欺
フォートナイト便乗詐欺は何カ月もかけて着実に広がってきたが、このごろは断続的に増えているようだ。サイバーセキュリティ会社のインパーヴァ（Imperva）で脅威調査部門を率いるベン・ハーズバーグはそう話す。インパーヴァもまた、こうした詐欺活動を追跡してきた。
最近では9月の第1月曜の「レイバー・デー」前後や、10月最後の週末に詐欺が急増した。こうした脅威に対する注意喚起を受けた場合、プラットフォーム側はたいがい対応するものの、この類の詐欺がすぐに消えるとは期待できない。ドメインの差し止めは難しく、一方で詐欺の実入りがあまりにいいからだ。
インパーヴァは7月、フォートナイト便乗詐欺の被害総額が2018年中に100万ドル（約1億1380万円）を超えるとの見通しを示した。
自衛手段として良識に勝るものはなさそうだ。V-Bucksはフォートナイト内で入手するに限る。抜け道はない。ジャンク広告のクリックと引き換えにV-Bucksを配布するエピックゲームズ公認サイトなど存在しない。
それでも人々がこの教訓を学ぶまで、フォートナイト便乗詐欺はウェブ上に溢れ続け、詐欺師らはジャンク広告の収益と被害者の個人情報を集め続けるだろう。
ハーズバーグは警告する。「どこのものともわからない記入フォームに住所を入力するとき、年齢などの情報を教えるとき、その情報がどう使われるのか本人にはわかりません。フォームを埋めるのにかかった時間はわずか5分だったかもしれませんが、もっと悪い結果を招く可能性があるのです」
