- サイバー犯罪者がアンチディテクトブラウザーを使い、デバイスを偽装してアカウントを乗っ取り、不正検知システムを回避
- 盗んだセッションCookie、偽のID、AIによる自動化が、詐欺やアカウント悪用の大規模化を後押し
- AI統合型のアンチディテクトツールが大規模な不正行為のハードルを下げていると研究者が警告
サイバー犯罪者の間で、アンチディテクトブラウザーを攻撃基盤の一部として使う動きが広がっています。検知を回避しながらセッションCookieを悪用し、数千件もの偽アカウントを作成して、本人確認（KYC）のチェックも突破しているといいます。これは、セキュリティ専門家のCheck Point Research（CPR）が公開した詳細な新レポートで明らかになりました。レポートによると、こうした活動を主導しているのはロシア、イラン、中国のハッカーです。
アンチディテクトブラウザーとは
FacebookやTikTokなどのサービスに通常のブラウザーでログインすると、画面解像度、OS、フォントといったデジタルな痕跡（フィンガープリント）が残ります。この情報は、オンラインのセッションをまたいでデバイスを識別・追跡するために使われます。たとえば、デジタルマーケティング会社のような一つの主体が同じブラウザーから複数のアカウントにログインしようとすると、セキュリティアラートが作動する場合があります（あるいは単に、一部のサービスの利用規約に反することもあります）。
そこで登場したのがアンチディテクトブラウザーです。異なるフィンガープリントを持つ独立したプロファイルを作成できるのが最大の特徴で、複数のアカウントがそれぞれ別のデバイスから接続しているように見せかけられます。
主な用途は、ソーシャルメディア、広告、ECのアカウント管理のほか、ウェブスクレイピングの実行や、さまざまな環境でのウェブサイトのテストです。
アンチディテクトブラウザー自体は、もともと悪意のあるものではありません。利用者の多くはデジタルマーケティング会社やアフィリエイトマーケターです。しかし、他の多くの便利な技術と同じように、サイバー犯罪者もこの技術を積極的に悪用し、不正なアカウントを運用しています。
現在は多くの競合ツールが存在しますが、なかでも目立つのがKameleo、AdsPower、Multilogin、GoLogin、Dolphin Antyです。
CPRによると、アンダーグラウンドフォーラムでは、さまざまな不正行為にアンチディテクトブラウザーを使う議論が盛んに交わされています。投稿の多くは中国、イラン、ロシアのハッカーによるもので、話題の中心はKameleo、AdsPower、Multilogin です。
「これらのツールを選んだのは、アンダーグラウンドフォーラムや犯罪者向けマーケットプレイスで言及が確認されており、本来の商用目的を超えて悪用が進んでいることがうかがえるためです」とCPRは説明しています。
CPRはこうした議論を分析し、攻撃者が主に盗んだセッションCookieを悪用する目的でアンチディテクトブラウザーを使っていることを突き止めました。Cookieを盗めば、クリーンなブラウザープロファイルに注入してアカウントを乗っ取り、妨害されることなく操作できます。特に狙われやすいのは、銀行口座や暗号資産ウォレットです。
AIという「隠し味」
攻撃者は銀行や暗号資産ウォレットだけでなく、ECプラットフォームでの決済情報の検証にもこれらのブラウザーを使っています。アラートを出させずにテストできるためです。さらに、架空の身元でローンを申し込んだり、偽アカウントを大量に作成したりもしています。こうした偽アカウントは、大規模な広告収入の創出に利用されます。
同時に、人工知能（AI）がこうした作戦の規模拡大を容易にしているとCPRは指摘します。たとえばAdsPowerは、Model Context Protocol（MCP）サーバーを通じて大規模言語モデル（LLM）と連携でき、AIを使ったワークフローをブラウザープロファイルに接続できます。また、自動化マーケットプレイスを通じて、複数アカウントでのコメント、「いいね」、メッセージ送信などに使えるさまざまなテンプレートも提供しています。
アンチディテクトブラウザー、AIによるアカウント管理、AI生成コンテンツを組み合わせると、強力な攻撃の仕組みが出来上がります。攻撃者は最小限の関与で、大規模かつ組織的なキャンペーンを展開できます。偽アカウントを時間をかけて育てて（ウォームアップして）信頼性を高めれば、詐欺や不正行為の攻撃にも使いやすくなります。
「アンチディテクトブラウザーのエコシステムは、高度で商業的にも成熟し、AI化がますます進むインフラです。これにより、詐欺や不正行為、さらには組織的な偽装工作を大規模に実行するハードルが根本的に下がりました」とCPRは警告します。「こうした商用ツールは数十の言語で提供され、カスタマーサポートチームが控え、世界最大級のソーシャルメディアプラットフォームを相手に日々テストされています。しかも今ではLLMパイプラインと統合され、実行層から人間のオペレーターを排除できるようになっています」
研究者は、セキュリティチームに対し、アカウントの挙動だけでなくインフラにも目を向けるよう助言しています。具体的には、住宅用プロキシ、ブラウザーフィンガープリントの不整合、異常なセッションCookieのパターンなどです。ソーシャルメディアプラットフォームには、アンチディテクトブラウザーを分析し、自社の検知の仕組みがどう回避されているのかを把握するよう求めています。一般企業には、セッションCookieを悪用したアカウント乗っ取りを自社のセキュリティシステムで検知できるか、見直すよう促しています。
