偽の「Amazon Music×YouTube」提携話でクリエイターを誘導、Googleログインの罠に

8月27日、YouTubeは、AmazonがYouTubeショッピングのアフィリエイトプログラムに参加したことを発表しました。対象となるクリエイターは、動画内でAmazon商品にタグ付けでき、販売に応じて報酬を得られるようになりました。

それから数週間後、Malwarebytesは、YouTubeクリエイターにもう一つのAmazonとの機会に見せかけた話を持ちかけるサイトが相次いでいることを確認しました。Amazon Musicによる招待制の広告提携です。このサイトはクリエイター自身のチャンネル統計を表示したうえで、個別のオファーを見せる前にGoogleでチャンネルを「認証」するよう求めます。

この認証手順は、Googleのログイン情報を盗むために仕組まれたフィッシングの試みであり、クリエイターのアカウントとYouTubeチャンネルを危険にさらします。

こうしたオファーを受け取った場合は、Googleのパスワードや認証コードを入力しないでください。すでに入力してしまった場合は、以下の手順に従ってGoogleアカウントをただちに保護してください。

本物のAmazonとYouTubeの提携とは

本物の提携では、YouTubeパートナープログラムおよびYouTubeショッピングのアフィリエイトプログラムの対象クリエイターが、動画、ショート、ライブ配信でAmazon商品にタグ付けでき、視聴者が購入すると報酬を得られます。YouTubeの設定ガイドには、AmazonアカウントとYouTubeアカウントを連携させる手順も記載されており、タグ付けが有効になるとYouTube Studioに通知が届きます。

本物のプログラムにも、チャンネルを接続して認証する手順はあります。ただし、それはすでに持っているAmazonアカウントを使い、Amazon自身のサイト上で行うもので、YouTube StudioでYouTubeが確認します。招待制のAmazon Music広告キャンペーンや報酬計算ツール、第三者の「クリエイターポータル」は一切関係しません。

存在しない招待制の提携話

amazonyt[.]comでホストされているこのサイトは、自らを「Amazon Artists Music — Creator Portal」と名乗っています。名称はAmazonの実在サービス「Amazon Music for Artists」に似ており、一見すると馴染みがあるように感じさせます。

サイトは「AmazonおよびAmazon Musicとの広告コラボレーション」をうたい、プログラムを招待制と説明したうえで、訪問者に「Amazon Music Artistsからのアウトリーチメールに記載されたリンク」を使うよう案内しています。

収益計算ツールまで用意されています。4つのパッケージ（ショート動画パッケージ、予定している動画への組み込み、専用動画、「フルキャンペーンパッケージ」）から選び、平均再生回数を設定し、追加のショートやライブ配信での言及といった「ブースター」を加え、契約の独占度を選びます。すると「推定報酬額」が表示され、通常のブランド案件にありがちな「終わりのないやり取りや支払い遅延」と比較されます。

この計算ツールは、入力した数値に基づいて実際に計算を行います。しかし、計算ツールが動くからといって、報酬が本物になるわけではありません。この見積もりは、サイトがログイン情報を求める前に、クリエイターに先へ進む理由を与える役割を果たしています。

サイトは英語、スペイン語、インドネシア語、ポルトガル語、ロシア語、ウルドゥー語、アラビア語、ヒンディー語、タイ語の9言語に対応しており、運営者が複数の国のクリエイターを狙っていることがうかがえます。

自分のチャンネルがおとりに

次に、サイトはYouTubeチャンネルのリンクを求めます。

リンクを貼り付けると、ダッシュボードに実際のチャンネルデータが表示されます。登録者数、総再生回数、最近の動画や人気動画、再生リスト、トピック、サムネイルなどです。Amazonのブランドを掲げたページに自分のデータが表示されることで、オファーが自分向けに用意されたものだと感じてしまいます。

このデータを取得するため、サイトはブラウザから直接YouTubeの公開APIに問い合わせます。コードには20個のGoogle APIキーが含まれており、キーが利用上限に達したり拒否されたりすると、自動的に次のキーへ切り替わります。

これらのデータは公開情報であるため、調べること自体は窃取ではありません。犯罪者が得るのは信頼性です。登録者数や最新の投稿を把握しているサイトは、すでに誰かがチャンネルを評価したうえで提携を持ちかけているように見えかねません。

オファー自体は、チャンネルを「認証」するまでロックされたままです。

偽の「Googleで続行」ボタン

ロックを解除するには、「必須の手順であるチャンネルの認証を完了」する必要があります。ページには、チャンネルの所有者であることを確認し「Amazon Musicのコラボレーション概要を解除する」ためにGoogleでサインインするよう表示され、カラフルなGoogleロゴが付いたおなじみの白いボタンContinue with Googleが現れます。

サイトには、正規サイトが使うものと同種の本物のGoogleサインイン用コードが含まれています。しかし、これは機能しません。Googleに接続するための設定が空であるため、実行されることはないのです。

代わりに、ボタンをクリックするとページ上に全画面のフレームが開きます。このフレームは、2つ目のドメインyoutubechannelverification[.]comのコンテンツを読み込みます。背景はほぼ完全に透明なため、2つ目のサイトが描画する内容は、Amazonのページの上に重なっているように見えます。その間も、ブラウザのアドレスバーにはamazonyt[.]comと表示されたままです。

これは、Malwarebytesが先日取り上げた偽のClaude Maxプレゼント企画と似た手口です。サインイン用のウィンドウがページ内に存在する場合、犯罪者は目に見えるほぼすべてを操作できます。

2段階目のコードは、その狙いを示しています。分析したバージョンでは、フォームに入力されたメールアドレスとパスワードを自らのサーバーに送信し、多要素認証（MFA）のチャレンジにも対応する手順を備えていました。つまり、パスワードだけでなく、アカウント保護の追加の層を突破するのに役立つ認証コードも収集するよう作られているのです。

被害者を安心させる偽のオファー

その後の展開は、2段階目のサイトの応答次第です。

偽のウィンドウには、独自の閉じるボタンがありません。2段階目のサイトが指示したときにだけ閉じます。その際、ページには「認証に失敗しました。もう一度お試しください」と表示されます。

ただし、分析した2段階目の設定は、amazonyt[.]com上の「成功」ページのアドレスも指していました。このページにアクセスするとチャンネルが認証済みとして扱われ、ダッシュボードに戻ります。そこではオファーが解除されており、適合スコア、キャンペーンの階層、予算帯、推定リーチ、そして最近の平均再生回数を引用した提案文が表示されます。

条件交渉まで可能です。逆提案エディタでは、納品物を選び、SNSでの利用権の可否を切り替え、「Amazon Music」宛てのメモを残せます。Request this collaborationをクリックするか逆提案を送信すると、「リクエストを受け付けました」という画面が表示され、Amazon Musicの提携チームがチャンネルを審査したうえで、次の手順を連絡すると説明されます。

この画面にたどり着いたクリエイターにとっては、すべてがうまくいったように見えます。チャンネルを認証し、説得力のあるオファーを確認し、リクエストも送ったのですから。この安心させる結末によって、被害者が異変に気づくまでの時間を犯罪者が稼げる可能性があります。

このキャンペーンが際立つ理由

偽のスポンサー案件は、長年クリエイターを狙ってきました。今回のキャンペーンは、罠をより説得力のあるものにする複数の特徴を併せ持っています。

• パスワードの収集は2つ目のドメインで行われる。 amazonyt[.]comのページ自体には、サインインフォームが含まれていません。フォームはクリック後にはじめてyoutubechannelverification[.]comから読み込まれます。この分離により、調査する人には最初のページが無害に見えやすくなり、運営者はおとりのページに手を加えずに2段階目を変更できます。
• 成功ページは疑念を避けるよう設計されている。 情報を渡した被害者は、エラーページに置き去りにされません。解除されたオファーと「リクエストを受け付けました」という確認画面に戻され、返信を待つ理由を与えられます。
• パーソナライズが自動化されている。 訪問者ごとに、そのチャンネルの実際の数値から作られたダッシュボードとオファーが表示されます。
• 使い回し可能なキットの一部である可能性がある。 コードには、このサイトとは無関係なエラーメッセージが残っています。「Please enter the product ID」や「This channel is not in the list, please connect the invited channel.」などです。また、2段階目へのリンクにはref値が付いており、分析した2段階目のコードはこれをworkerCodeとして保存していました。複数の人物がこのサイトへ誘導している可能性がありますが、キットがどのように共有されているかは確認できていません。

犯罪者がYouTubeチャンネルを狙う理由

YouTubeクリエイターは長年、標的にされてきました。2021年には、GoogleのThreat Analysis Groupが、偽のコラボレーション依頼でクリエイターを誘い込み、マルウェアでチャンネルを乗っ取ったうえで転売したり、暗号資産詐欺の配信に利用したりするキャンペーンを報告しています。

乗っ取られたチャンネルには、すでにそのチャンネルを信頼している視聴者がいます。犯罪者にとっては、潜在的な被害者に届くための出来合いのプラットフォームを手に入れることになります。

• 「チャンネルを認証してください」という要求は慎重に扱う。 正規のサービスが、チャンネルの所有権を確認するためにGoogle公式のサインインを使うことはあります。重要なのは、どこでサインインするかです。Googleのパスワードと認証コードを入力する場所は、Googleの本物のサインインページだけです。
• ブラウザの本物のアドレスバーを確認する。 Googleのパスワードを求められた場合、実際のブラウザのタブや別のブラウザウィンドウにaccounts.google.comと表示されているはずです。ウェブページ内に描画されたアドレスバーは偽装できます。
• ロゴではなくドメインを確認する。 amazonyt[.]comとyoutubechannelverification[.]comは、今回のフィッシングキャンペーンに使われたドメインです。見慣れたブランド表示や正確なチャンネル統計があっても、公式サイトとは限りません。
• 本物のプログラムの内容を知る。 AmazonとYouTubeショッピングの提携では、対象クリエイターがタグ付けした商品で報酬を得られます。Amazon Musicのスポンサー案件とされるものは、別途確認が必要です。
• オファーを独自に確認する。 メッセージに記載された連絡先ではなく、自分で調べた公式サイトの連絡先から企業に問い合わせてください。

すでに情報を入力してしまった場合

Googleの公式サイトでGoogleパスワードを変更してください。Googleアカウントのセキュリティ設定でデバイスを確認し、見覚えのないセッションからはログアウトして、心当たりのないサードパーティ製アプリは削除します。復旧用のメールアドレスと電話番号が変更されていないかも確認してください。

MFAコードを入力した場合や、サインインの確認を承認した場合は、アカウントが侵害された可能性があるものとして対処してください。

YouTube Studioでは、設定 > 権限で、自分が追加していない人物がいないか確認します。チャンネルがブランドアカウントに接続されている場合は、そのアカウントの権限も確認してください。アクセスできなくなった場合は、チャンネルに関連付けられたGoogleアカウントから始める、YouTubeの乗っ取られたチャンネルの復旧ガイドに従ってください。

Malwarebytesがこのような詐欺を見抜く仕組み

フィッシングページがいったん読み込まれると、犯罪者は目に見えるほぼすべてを操作できます。そのため、ページが開く前に止めることが最善です。 

Malwarebytes Browser Guardは、ページが読み込まれる前にフィッシングや詐欺のドメインをブロックします。スポンサー案件に不安がある場合は、返信やクリックをする前に、Malwarebytes Scam Guardに確認を依頼することもできます。

侵害指標（IOC）

• amazonyt[.]com
• youtubechannelverification[.]com

被害が出る前に脅威を止めましょう。

Malwarebytes Browser Guardは、フィッシングページや悪意のあるサイトを自動的にブロックします。無料で、ワンクリックでインストールできます。ブラウザに追加する →