詐欺師たちが249ドルのウェブサイトツールキットを使い、年間最大2,000ドルにも及ぶ未検証のAIサブスクリプションを販売しています。これらのサイトを本物らしく見せているのが、本物のGoogleサインイン画面です。
Malwarebytesは、このツールキットで構築された同種のウェブサイトを100件以上発見しました。いずれも同一のツールキットに紐づいており、開発者情報も互いに深く関連しています。
このネットワークには、既存製品の名称をそのまま模倣したサイトが含まれており、その中にはGPT-6 Astra、DaVinci Resolve、PixAI、OpenCutなどがあります。あるサイトは2023年にサービスを終了したビデオチャットサービス「Omegle」の名称を使用しています。また、公にはまったく実績のないブランド名を掲げるサイトもあります。
PixAIジェネレーターを偽装したサイト（出典:Malwarebytes）
「今回調査したサイトは、偽のパスワード入力フォームやマルウェアのダウンロードを強要する手口は使っていませんでした。その代わり、洗練された製品ページと本物のGoogleサインイン画面を使い、訪問者を有料プランへと誘導していました。模倣サイトを訪れたユーザーは、正規の提供元から購入していると信じ込んでしまう可能性があります。馴染みのないブランドの場合、誰がそのサブスクリプションを販売しているのかを特定したり、掲げられている主張を独自に検証したりすることは困難です」と研究者は説明しています。
安価なテンプレートの上に成り立つ高額な価格設定
これらのサイトの価格は、月額10ドル未満のものから年間2,000ドルを超えるものまで幅広く存在します。複数のサイトでは、宣伝されているツールを試す選択肢が提示される前の段階で、ユーザーに書類や録音データのアップロードを求めています。
研究者たちは、これらのサイトの出所を、買い切り価格249ドルの市販ウェブサイトスターターキットにまでたどり着きました。追加テンプレートは1つあたり約2ドルです。このキットにはアカウントシステム、課金ツール、ファイルストレージ、管理コントロールが含まれており、購入者はその上に独自のブランディングと製品説明を追加するだけで済みます。
一部のサイトには、キット自体に由来する残留物がそのまま残っており、実際に販売されている製品用には書かれていないデモ用バナーやテスティモニアルが含まれています。あるサイトでは、有料プランの名称に「boilerplate（ひな形）」という単語がそのまま残っていました。
「名称やデザインは異なるものの、これらのサイトは同一の基盤ファイルを共有しており、開発者のメールアドレスも互いに深く関連しています。このことから、単一の運営者、あるいは密接に結びついたグループがこのネットワークの背後にいることがうかがえます」と研究者は指摘しています。
これらのサイトは、運営者に関する情報をほとんど公開していません。会社名や所在地が記載されていないことが一般的で、サイト独自ドメインのメールアドレス以外に、独立して検証可能な連絡先も存在しないため、返金や紛争の解決が困難になる可能性があります。
Googleサインインは信頼性を保証しない
このネットワークに属するサイトは、訪問者を本物のGoogleサインインページへと誘導し、名前・メールアドレス・プロフィール写真を要求しますが、GmailやDriveへのアクセス権限は求めません。本物のGoogleサインインは、あくまでログイン処理をGoogleが担ったことを証明するに過ぎず、その背後にある製品自体の正当性を保証するものではありません。
Googleの同意画面には、アプリケーション名とサインインリクエストに紐づく開発者の連絡先が表示されます。Malwarebytesが調査したサイトの中には、これらの開発者連絡先の複数が、ページ上に表示されているブランドとは無関係の、無料ウェブメールアドレスであるケースが見られました。
「無料のメールアドレスであること自体は不正の証拠にはなりませんが、そのサービスが数百万人規模のユーザーを抱えていると主張したり、確立された企業であるかのように自らを提示したりしている場合には、疑問を持つべきです」とMalwarebytesは警告しています。
Malwarebytesは、ロゴや名称だけを鵜呑みにするのではなく、ウェブアドレスが利用しようとしている製品と一致しているかを確認するよう推奨しています。また、続行する前にGoogleの同意画面を確認し、アプリケーション名や開発者情報がサイト上に表示されているブランドと一致しているかをチェックすることも推奨しています。
「製品名を別途検索し、公式サイトやアプリストアの掲載情報を確認してください。販売者側が表示している評価やテスティモニアルを鵜呑みにしないでください」と研究者たちは結論づけています。
翻訳元: https://www.helpnetsecurity.com/2026/09/22/fake-ai-subscription-sites-google-sign-in/
