BBCの報道によると、詐欺グループがMetaの著作権報告システムを悪用し、ユーザーのInstagramアカウントを凍結させたうえで、身代金を要求する事例が発生しています。
犯人はInstagramに虚偽の著作権侵害申し立てを行い、対象アカウントが自分の所有物ではない素材を使用していると主張します。この申し立てが繰り返されると、プラットフォーム側がアカウントを一時的に凍結してしまうことがあり、被害者は何も悪いことをしていないにもかかわらずアカウントから締め出されてしまいます。その後、犯人はTelegramなど別のプラットフォームに会話を移し、申し立てを取り下げる見返りとして身代金を要求します。
これと似た手口については以前にも報告しています。その事例では、詐欺師がInstagramの通報システムを悪用してアカウントを凍結させ、復旧と引き換えに金銭を要求していました。
BBCは、歴史をテーマにしたInstagramアカウントの運営者にインタビューを行いました。この人物によると、同一のメールアドレスから複数回にわたり著作権侵害の申し立てを受けたといいます。著作権侵害の申し立てが繰り返されると最終的にアカウントが無効化される可能性があり、Instagramを収入源として利用している人にとっては特に深刻な被害となります。
このアカウント運営者は、最終的に暗号資産で50ドルを支払いました。Metaによる申し立て対応には数週間かかる可能性があり、しかも当初は対応が不十分だったためだといいます。しかし、支払い直後に再び同じ詐欺グループから標的にされました。
ユーザーには無料の対処手段もあります。著作権侵害通知に付随する異議申し立てオプションや、Instagramアプリ内のヘルプセクションなどです。有料オプションとしては、Meta Verifiedに付随する24時間365日のサポート担当者へのアクセスがあるほか、一部の対象となるビジネスアカウントや広告アカウントにはMeta Business Supportが利用可能です。
この詐欺が成立してしまう背景には、Metaが著作権侵害の申し立て処理の大部分を自動化していることがあります。申し立てが行われた際にその真正性を検証しておらず、申し立てが繰り返されるとアカウントが一時的に凍結される仕組みになっています。Metaのポリシーでは、著作権侵害の申し立てができるのは権利者本人またはその正式な代理人に限られるとされていますが、行動を起こす前に本人確認を行っていません。つまり犯罪者は権利者やその弁護士になりすませば、まんまと申し立てを通せてしまうのです。
AIを使えば、詐欺師はこうした虚偽の申し立てを大量かつ簡単に行えるようになり、いわば「一網打尽」式の攻撃に発展しかねません。ごく一部の被害者から身代金を引き出せれば、犯人にとっては十分な儲けになります。特にMetaによる手動での問題解決に時間がかかりすぎる場合はなおさらです。
BBCが取材した別のInstagramアカウント運営者は、この問題によってブランドとの契約を失ったと語っています。Metaは、同じ問題が再発しないという保証をこの人物に対して示せなかったといいます。
この問題は法的な注目も集めています。インドでは、デリー高等裁判所がソーシャルメディアプラットフォームが著作権侵害を理由にユーザーアカウントを法的に凍結できるかどうかを審理中です。また別の訴訟では、あるInstagramユーザーに対して行われた13件の著作権侵害警告のすべてが虚偽であったことをMetaが法廷で認め、当該アカウントを復旧させています。
Metaは、BBCに対して人々を欺こうとする不正行為には対抗していると説明しました。BBCが特定したアカウントを確認したのち、影響を受けたコンテンツを復旧し、同様の攻撃を防ぐための対策(詳細は非公表)を追加したといいます。ただし、同社は「まず凍結してから後で検証する」という現行のアプローチそのものを是正するような包括的な対策は発表していません。
法執行機関は、被害者に対して身代金を支払わないよう呼びかけています。支払いは詐欺師を助長するだけであり、再び狙われないという保証にもなりません。むしろ、金を払う相手だと知られてしまえば、再度狙われる可能性はさらに高まるでしょう。
著作権侵害の申し立ては、フィッシングの誘い文句としてもよく使われます。これまでにも、詐欺師がXユーザーに虚偽の著作権侵害警告を送りつける手口や、YouTubeクリエイターを狙った巧妙な著作権侵害通知について報告してきました。これらの攻撃はログイン情報の窃取を狙ったものでしたが、今回のケースでは詐欺師がInstagramの正規の申し立てシステムそのものを悪用し、アカウントを凍結に追い込んでいる点が異なります。
Instagramアカウントを守るために
- 二要素認証を有効にするこれによって虚偽の申し立てを防ぐことはできませんが、詐欺師がログイン情報の窃取も同時に狙ってきた場合にアカウントを保護する助けになります。
- 著作権侵害の申し立てはInstagram上で確認するメールやTelegram、その他のメッセージサービスで送られてきたリンクやスクリーンショットを鵜呑みにしないこと。
- 申し立ての取り下げのために金銭を支払わない支払ったからといって、詐欺師が申し立てを取り下げたり、以後アカウントに手を出さなくなったりする保証はありません。
- ログイン情報や認証コードを共有しない詐欺師は著作権侵害の申し立てを口実に、偽のInstagramログインページへ誘導してくる場合があります。
- Instagramの公式な異議申し立て手続きを利用する申し立ての内容、身代金要求、ユーザー名、メールアドレス、支払い要求の記録を証拠として保存しておくこと。
詐欺師はあなたをハッキングする必要すらありません。ただ一度クリックさせるだけでいいのです。
Malwarebytes Identity Theft Protectionは、問題が深刻化する前に不審な活動を検知します。
