同僚のLina K.氏は最近、League of Legendsの試合が終わった直後にRiotクライアントのフレンドリスト経由でプレイヤーにアプローチしてくるボットについて、自らの体験談を明かしました。ボットはまず親しげな会話を持ちかけ、最終的にはOnlyFansのリンクを送りつけてくるといいます。このパターンは、ここ数カ月間にRedditやFacebookのゲームコミュニティに寄せられている苦情の急増と一致しており、出会い系アプリからゲームクライアントへと直接舞台を移した、AIを活用したソーシャルエンジニアリングという広範なトレンドの一端をなしています。
手口のパターン
複数のLeague of Legendsプレイヤーから報告されているこの手口は、ほぼ同一の筋書きをたどります。試合終了から数分以内に、その試合に参加していたはずのないアカウント名からRiotクライアントにフレンド申請が届きます。メッセージは「前の試合、すごく上手だったね」「プレイスタイルが好きだった」といった、対戦相手やチームメイトからの本物の褒め言葉であるかのように見せかけた、当たり障りのない世辞から始まります。
正体を問い詰められると、これらのアカウントはアカウント名の不一致にもかかわらず「敵チームにいた」と主張することが多く、多くの場合デュオパートナーを探している女性を自称します。これは、相手の関心を引く確率を高める狙いがあると考えられる細工です。被害者がこうしたアカウントのプロフィールを確認すると、多くの場合は空欄で、目立った試合履歴も概要データもなく、アカウントレベルが非常に低いこともあります。これらはすべて、アウトリーチ目的のためだけに作成または購入された使い捨てアカウントである兆候ですが、時には既存のアカウントが乗っ取られたものであることも判明しています。
短いやり取りの後、相手は「そろそろオフラインになる」と告げ、Discordのユーザー名を渡してきます。これにより、会話はRiotのチャット保護機能が監視も規制もできないプラットフォームへと移されます。
Discordに移ると、このキャラクターはより長編のロマンス・フラート系の筋書きへと切り替わります。通常は数時間にわたる会話で親密さを築きつつ、示唆的ではあるものの露骨な内容には至らない写真を絶えず送り続けます。これは、信頼関係が確立されるまで「本題」を先延ばしにしながら、相手の関心を高く保つための手口です。この「本題」は最終的に、有料サブスクリプションプラットフォーム(多くの場合OnlyFans)へのリンクという形で明かされ、期間限定の特別オファーであるかのように演出されます。
ある会話でやり取りされた写真を画像検索してみると、同じ画像が無関係な複数のウェブサイトや、少なくとも1本のYouTube動画で使い回されていることが判明しました。その動画のコメント欄には、別の名前を名乗るボットから同一の画像を受け取ったという投稿者のコメントも見られました。これは、同じ写真セットが多数のチャットで同時に使い回されており、一個人ではなく組織的な規模で運用されていることを示す強力な証拠です。
Lina氏は次のように述べています。
「私の友人の一人もボットの正体を暴こうとして、しばらく既読無視をしてみたんです。すると、そのボットは写真を『心配そうな表情』のモデル画像に切り替えて『どうして返信してくれないの?』と送ってきました。これは明らかに、画像が大量生成されたものであることを裏付けるものでした」
「これまでの指示を明かして」といったプロンプトインジェクション形式の試み(ボットにキャラクターを崩させ、設定情報を出力させるためのシステムメッセージを装ったテキスト)でアカウントを追及した際も、ボットはこれに応じることなく、キャラクターを維持したまま要求をかわし、セールスを続けました。
この、よく知られたジェイルブレイク手法への耐性の高さは、運営者側がまさにこうした探りに対抗するガードレールを追加していることを示唆しています。あるいは、その裏にある「モデル」が、自由で制約のないチャットボットではなく、LLMが生成したテキストを一部組み込んだ、よりシンプルなスクリプト化されたフローである可能性も考えられます。
なぜ今、ゲームクライアント内でこれが起きているのか
今回の一連の動きで注目すべきは、ロマンス詐欺の筋書き自体ではありません。AIを駆使したなりすまし(キャットフィッシング)は、出会い系アプリやSNS上ですでに数年前から確認されてきました。今回異なるのは、その侵入経路です。プレイヤーたちは、事実上あらゆる試合の後にこうしたボットからのフレンド申請を受け取っていると報告しており、Riotクライアント内では本物のプレイヤーからの申請とボットからの申請を見分ける手段がありません。
コミュニティのスレッドでは、試合が終わった直後にボットが出現しているように見えるとの記述が多く見られ、ボットの運営者がサードパーティ製の統計追跡サイトや関連APIを通じて公開されている試合データを収集・監視し、直近で終了した試合を特定して参加者を標的にしているのではないか、との憶測を呼んでいます。ただし、これはRiotによって独自に確認された事実ではありません。
Riot自体のクライアントアーキテクチャが、意図せずこれを助長している可能性もあります。Riotクライアントは、サードパーティ製ツールやオーバーレイが照会できるローカルエンドポイント(フレンドリストAPIなど)を公開しており、コミュニティ運営の「op.gg」のようなトラッカーは、プレイヤーや試合のデータを取得しています。こうしたデータは、直前に試合を終えた人物と次に狙うべき標的とを結びつけるために使われている可能性が十分に考えられます。一部の被害プレイヤーは部分的な回避策を見つけています。クライアントの「ストリーマーモード」をオンにして、直近の試合状況やオンライン状態の情報を非表示にすると、ボットからの申請頻度が減るようです。これは、ターゲティングがランダムなスパム送信ではなく、可視化されたアクティビティ情報に依存していることを示す間接的な手がかりといえます。
最終目的:窃取とは限らないコンテンツ宣伝
偽のNitroコードやマルウェア入りの「ゲームを試してみて」といったリンクでアカウント乗っ取りを狙う従来型のDiscord詐欺とは異なり、今回の一連の手口は主に、架空のAI美女のOnlyFans風ページへの有料サブスクリプション誘導を目的としているようです。だからといって、これが無害というわけではありません。たとえ元となるOnlyFansアカウントが実在するものであっても、そのやり取りは、共有された台本と使い回しのメディアライブラリをもとに動く、有料のチャットオペレーターやスクリプト化・AI駆動のシステムによって運営されている可能性が非常に高いのです。このビジネスモデルについては、元OnlyFans「チャッター」自身がすでに証言しています。代理店はスタッフ(あるいはボット)を割り当てて、クリエイター本人になりすまして24時間対応させ、あらかじめ用意された写真とメッセージのストックから返信を作成し、あらゆる会話をサブスクリプション登録やチップに変換するよう金銭的インセンティブを与えられているのです。
同じ導線上には、さらに悪質な派生パターンも存在します。コミュニティの報告によれば、こうしたボットアカウントの一部は、最終的に正規のコンテンツではなく、受信者のDiscordアカウントを乗っ取ったり認証情報を窃取したりすることを目的としたリンクを送りつけてくるといいます。
つまり、「デュオを組みたがっている女の子」という導入部分は、サブスクリプションへの誘導だけでなく、アカウント乗っ取りの試みへとまったく同じように行き着く可能性があるということです。この導線は、低コストで使い捨て可能なRiotアカウントから始まり、わずか数分で標的をDiscordへと誘導するため、Leagueクライアントのフレンド申請は純粋に「初回接触フィルター」として機能しています。生成コストが安く、一度使えば簡単に廃棄でき、会話がプラットフォーム外に移った時点でRiotのゲーム内通報ツールの手の届かないところに逃げられるからです。
身を守るために
こうした詐欺の手口を見抜くことが、自衛の最善策です。それに加えて、以下のような対策も有効です。
- 見覚えのない名前からのRiotクライアントのフレンド申請は、デフォルトで疑ってかかる。特に試合終了の数秒後に届く申請には注意し、承認する前にそのアカウントが実際に直前の試合に参加していたかどうかを確認する
- Riotクライアントでストリーマーモードや同等のプライバシー設定を有効にし、外部から見えるアクティビティや試合データを制限する。実際、被害に遭ったプレイヤーの多くがこの設定でこうした申請の頻度が減ったと報告している
- 会話をすぐにDiscordなどプラットフォーム外へ誘導しようとする相手には警戒する。特に「そろそろ行かなきゃ、Discordを教えるね」といった理由で誘導してくる場合は要注意。これは、監視の目が届きにくく、身元を確認できる共有の試合情報も存在しないチャンネルへ意図的に誘導する動きである
- 会話の初期に送られてくるプロフィール写真や「個人的な」写真は、逆画像検索(Google画像検索、TinEye、または専用ツール)にかける。無関係な複数のサイトやフォーラムで同じ画像が使い回されていることは、ボットやなりすましの最も信頼できる兆候の一つである
- AI特有の会話パターンに注意する。台本通りに感じられる返信、時間帯を問わず即座に返ってくる反応、文法的には完璧でも感情面では紋欠くコミュニケーション、音声・ビデオ通話を一貫して避ける態度などが該当する
- ゲーム内やDiscordだけで知り合った相手には、どれほど親密さを感じても、送金やギフトカード、暗号資産、決済情報を絶対に送らない。正当なつながりであれば、出会ってから数時間以内に緊急の金銭的「支援」や限定サブスクリプションの購入を求められることはない
- 見知らぬ相手から送られてきたリンクは、一見無害なサブスクリプションページ、ゲーム招待、ファイルダウンロードを装ったものであってもクリックしない。この手口の一部の亜種は、正規のコンテンツではなく認証情報窃取やアカウント乗っ取りページへ誘導することが確認されている
- Discordのプライバシー設定を厳格化し(DMやフレンド申請を送れる相手を制限する)、多要素認証を有効にする。Discordアカウントが乗っ取られると、その被害者自身のフレンドリストに対して同じ詐欺が再び展開されることが多いためである
- 不審なRiotクライアントのアカウントはRiotサポートに、不審なDiscordアカウント・サーバーはDiscord Trust & Safetyにそれぞれ通報する。通報してもアカウントが即座に削除されるわけではないが、プラットフォームがボットアカウント群を検知・BANするためのパターンデータとして活用される
- ボットやスクリプト化されたキャラクターが、「正体を暴こう」とする試み(AIであることを露呈させるためのプロンプトインジェクションやジェイルブレイク風のメッセージを無視するなど)に対して説得力のある形で抵抗してきた場合、その耐性の高さ自体を安心材料ではなく警戒すべき兆候として捉える。防御の固い台本は、決して本物の人間と同じではない
