同一のツールキットを通じて連携し、開発者情報も密接に関連する100件以上のサブスクリプションサイトを発見しました。中には、GPT-6 Astra、DaVinci Resolve、PixAI、OpenCutといった実在の製品になりすましているものもあります。また、2023年にサービスを終了したチャットサービス「Omegle」の名前を使っているサイトもあります。その他は、運営者について検証可能な情報がほとんどない、無名のブランドを宣伝しています。
今回調査したサイトは、偽のパスワード入力フォームやマルウェアのダウンロードを強要するものではありませんでした。その代わりに、洗練された製品ページと本物のGoogleサインイン画面を使い、訪問者を有料プランへと誘導していました。模倣サイトを訪れたユーザーは、本物の提供元から購入していると信じ込んでしまう可能性があります。無名のブランドの場合、誰がそのサブスクリプションを販売しているのかを特定したり、記載されている主張を独自に検証したりすることは困難です。
名称やデザインが異なるにもかかわらず、これらのサイトは同一の基盤ファイルと、密接に関連する開発者のメールアドレスを共有しています。これは、単独の運営者、あるいは緊密に結びついたグループが、このネットワークの背後にいることを示唆しています。
サイトが見せてくるもの
一見すると、これらのサイトは怪しく見えません。セキュアな通信、プロフェッショナルなデザイン、そして確立されたソフトウェア企業が使うような自信に満ちた言い回しを使用しています。
セキュアな接続と鍵マークのアイコンは、ユーザーとサイトの間の通信が暗号化されていることを示しているに過ぎません。それが誰によって運営されているかを裏付けるものではありません。
性能比較や星評価、正確に見えるユーザー数を表示しているサイトもあります。あるサイトは1,200万人以上のユーザーを抱えていると主張していました。別のサイトでは有名企業の名前を顧客として掲載していましたが、それらの企業が実際に関与している証拠は見つかりませんでした。
ウェブサイトの運営者は、評価や顧客数、推薦文、テスト結果をページに自由に追加できます。こうした主張のいずれも、製品が本物であること、あるいは広く利用されていることの独立した証拠として扱うべきではありません。
Sign inやGet startedボタンの先には、サブスクリプションサービスが用意されています。訪問者はGoogleでサインインするよう求められ、その後、有料プランや利用クレジット、支払い履歴が表示されます。価格は月額10ドル未満のものから、年間2,000ドルを超えるものまでさまざまです。また、複数のサイトでは、宣伝されているサービスに処理させるための書類や録音、その他のファイルのアップロードをユーザーに求めていました。
今回調査したサイトでは、支払い前に宣伝されている製品を試す方法がありませんでした。ランディングページ上のボタン類はサインインするまで何も機能せず、サインインしてもツール本体ではなく料金ページへ誘導されるだけでした。
多くの正規サービスでも利用前に支払いを求めるため、それだけではサイトが安全でないと断定することはできません。ここで懸念されるのは、サブスクリプションを販売している企業について信頼できる情報がないことです。ページ上の主張と比較できる独立したレビューや公式の製品情報が存在しません。
ブランドは違っても、使われているのは同じウェブサイトキット
これらのサイトは、音声クローンツール、動画編集ソフト、学習アプリ、汎用AIアシスタントなど、幅広い製品を宣伝しています。しかし、デザインの違いの裏側では、同一の市販ウェブサイト構築キットが使われています。
このキットはオンラインサービスを素早く立ち上げるために作られた、正規の製品です。アカウントシステム、課金機能、ファイルストレージ、管理者向けツールが含まれています。購入者は、ブランディングと宣伝する製品の内容を自分で用意するだけです。
これが、一見無関係に見えるサービス同士が同一のチェックアウトページやアカウント設定を持つ理由を説明しています。色使いや書体、製品名が異なっていても、基盤となるシステムは同じなのです。
このキットは1回限りの購入で249ドル、追加テンプレートは1つあたり約2ドルで販売されています。販売元は「1時間で製品を立ち上げられる」と謳っています。最初のサイトさえ作ってしまえば、追加のバージョンを量産するのに要する時間や費用はごくわずかです。新しいサイトを作るのに必要なのは、新しいドメイン、デザイン、製品説明くらいのものかもしれません。これが、このネットワークがこれほどの規模に拡大した理由を説明している可能性があります。
複数のサイトには、スターターキットに付属していたデモ用素材がそのまま残っていました。これには、キットのブランド名、宣伝用バナー、汎用的なメニュー項目、そして宣伝対象のサービスとは何のつながりもなさそうな人物や企業の名前を使った推薦文が含まれます。
あるサイトでは、デモ用の企業一覧をそのまま自社の顧客として表示していました。別のサイトでは、再利用可能な雛形コードを指す用語である「boilerplate」という単語が、有料サブスクリプションプランの名称にそのまま残っていました。
Googleでのサインイン
これらのサイトは訪問者を本物のGoogleサインインページへと送ります。ウェブアドレスはGoogleに属するものであり、パスワードは宣伝対象のサービス上ではなく、Googleのウェブサイト上で入力されます。
今回調査したサイトが要求していたのは、ユーザーの氏名やメールアドレス、プロフィール画像といった基本的な情報のみでした。GmailやGoogleドライブへのアクセス権限は求めていませんでした。
しかし、本物のGoogleサインインページが表示されるからといって、そのサービスが公式のものであること、あるいは表示されているブランドと関連があることが確認されたわけではありません。それが確認するのは、あくまでもログイン処理をGoogleが担当し、承認された情報を外部のアプリケーションに渡しているという事実だけです。
Googleの同意画面には、アクセスを要求しているアプリケーション名と開発者情報が表示されます。これを、利用しようとしていたウェブサイトや製品と照合してください。名前が一致しない場合、想定していた企業とは別のものを相手にしている可能性があります。
Googleが表示する開発者情報を開いて確認することもできます。今回調査したサイトでは、サポート窓口として表示されていた連絡先は、ウェブサイト上に掲げられているブランド名のものではなく、無料のウェブメールアドレスでした。
無料のメールアドレスを使っていること自体は不正の証拠にはなりませんが、数百万人のユーザーを抱えていると主張したり、確立された企業であるかのように装ったりしているサービスであれば、疑いの目を向けるべきポイントとなります。
サイト同士のつながり
ウェブサイトは、動作に必要なコードを含むファイルを読み込みます。これらのサイトが使用しているシステムでは、こうしたファイルの一部に、その中身に基づいたファイル名が付けられます。中身が変われば、ファイル名も基本的に変わる仕組みです。
今回調査したサイト群では、こうしたファイル名の多くが同一でした。これは、これらのサイトが同一バージョンの同一の基盤ソフトウェアを稼働させていることを示しています。これだけを見れば、単に異なる人物が同じスターターキットを購入しただけという可能性も考えられます。
より強いつながりを示すのが、Googleの開発者情報です。開発者の連絡先は、いずれも同じ名前を含む無料ウェブメールアカウントで、アドレスに付加された数字などのわずかな違いしかありません。
こうしたアドレスは、スターターキットによって自動的に割り当てられるものではなく、アプリケーションをGoogleに登録する際に提供されるものであるため、これらのサイトが単一の主体、あるいは緊密に結びついた人物たちによって運営されていることを示唆しています。
サブスクリプション契約時に同意させられていること
これらのサイトは、サブスクリプションを販売している事業者について、ほとんど情報を提供していません。登録された企業名や事業所の住所、その他独立して検証可能な運営者情報は見つかりませんでした。多くの場合、唯一の連絡手段はそのサイト自体のドメインを使ったメールアドレスのみでした。
これにより、返金を求めたり、請求に異議を申し立てたり、サブスクリプションに関するトラブルを解決したりすることが困難になる可能性があります。
サブスクリプションの中には、金額が相当高額なものもあります。月額プランに加えて、一括払いの年間プランも販売されており、中には2,000ドルを超えるプランもあります。一部のプランでは、未使用のクレジットが一定期間後に失効すると明記されています。
使用される決済システムによっては、カード情報は運営者ではなく第三者の決済プロバイダーによって処理される場合があります。それでも、ユーザーは身元不明の運営者に対して、アカウント情報や場合によっては機密性の高い素材を提供してしまう可能性があります。
こうしたサイトを見分ける方法
洗練されたデザイン、本物のGoogleサインインページ、印象的なレビューがあるからといって、そのサービスが信頼できるとは限りません。
- ウェブアドレスを確認する。利用しようとしている企業や製品のものであることを確認してください。ロゴや製品名だけを頼りにしないでください。
- サイトの運営者を調べる。企業名、事業所の住所、プライバシーポリシー、利用規約、そして独立して確認できる信頼性のある連絡先を探してください。
- Googleの同意画面を読む。Continueを選択する前に、アプリケーション名、ドメイン、開発者情報、アクセスを要求している情報の内容を確認してください。
- 製品を試せない場合は慎重になる。試用版や動作するデモを提供していないサービスは、その製品が謳い通りのものであると確認する前に、先に支払いを求めていることになります。
- 独立した情報源を確認する。その製品を別途検索し、公式ウェブサイトやアプリストアの掲載情報を探してください。販売者自身が掲載している評価や推薦文を鵜呑みにしないでください。
- サービスの運営者が分かるまで、機密性の高いファイルをアップロードしない。文書、写真、録音、プロンプトには個人情報が含まれている可能性があります。
- 契約後は明細を確認する。身に覚えのない請求を見つけたら、速やかに決済プロバイダーや銀行に連絡してください。
- 信頼できなくなった連携は解除する。Googleアカウントの連携ページにアクセスし、心当たりのない、あるいは使用していないサービスを削除してください。これにより今後のアクセスは防げますが、すでに運営者と共有された情報が削除されるわけではありません。
Malwarebytesにできること
Malwarebytes Browser Guardは、悪意のあるサイト、フィッシングサイト、詐欺サイト、不正なウェブサイトをブロックします。これには、偽の広告や検索結果経由でたどり着くページも含まれます。
あるサイトについて不安を感じたら、Malwarebytes Scam Guardでそのウェブアドレスやスクリーンショットを分析し、警戒すべき兆候を特定する手助けを受けられます。
今回取り上げたサイトは、電話ではなくアカウントやサブスクリプションを中心としたものでした。もし不審なサービスからサポート用の電話番号への連絡を促された場合は、電話をかける前にMalwarebytes Scam Number Checkで確認できます。
被害が発生する前に脅威を止めましょう。
Malwarebytes Browser Guardは、フィッシングページや悪意のあるサイトを自動的にブロックします。無料で、ワンクリックでインストールできます。ブラウザに追加する →
アンチウイルスソリューションに情熱を注ぐStefanは、幼い頃からマルウェアのテストやAV製品の品質保証に携わってきました。Malwarebytesチームの一員として、顧客を守り、その安全性を確保することに全力を注いでいます。
