750ドルのApple Cash報酬をうたう偽ページ、実際には何も支払われない

この記事のポイント

750ドルのApple Cashをうたう偽オファーが、ユーザーをアプリやゲームの宣伝へ誘導
端末チェック、カウントダウン、「残り枠」の表示はすべて偽物
報酬は一切受け取れず、情報の提供やゲーム内課金につながる恐れ

私たちが見つけたページは、簡単な「端末認証」を完了すれば750ドルのApple Cashがもらえると約束しています。しかし報酬は存在せず、ページが端末を認証することもありません。実際には、アフィリエイト用のトラッキングリンクを経由して、アプリのオファーへ誘導するだけです。

このページはAppleとは無関係です。同様のページにたどり着いた場合は、すぐに閉じてください。

Appleが格好のおとりになる理由

Appleは世界で最も知名度の高いブランドの1つです。詐欺師はその親しみやすさを利用して、偽のオファーを本物らしく見せかけます。Apple自身の詐欺対策ガイダンスでも、製品や賞品を無料で提供するという偽のプロモーションが、よくある手口として挙げられています。

現在のAppleをめぐる話題も、詐欺師にとって好都合な隠れみのになっています。新型のiPhone Duoが話題になっており、私たちは最近、ページを開いた途端に古いiPhoneを攻撃しようとするコードを仕込んだ偽の予約ページを発見しました。iPhone Duoの価格は1,999ドルからです。そのため、750ドル分のApple Cashがもらえるという約束は、人々の目を引く可能性があります。

「認証（verify）」という言葉も、時期的にもっともらしく聞こえるかもしれません。11月9日から、Apple Cashを発行するGreen Dot Bankは、一部のユーザーに対して、残高をチャージする前の本人確認を求めるようになります。この状況では、Apple Cashを受け取るために「端末を認証する」よう求める偽ページが、より信憑性を持って見えるかもしれません。

Apple CashはApple ギフトカードではない

このページは、2つの異なるものを混同させています。

Apple Cashは、Apple Walletを通じて送金・受け取り・支払いができるお金です。
Apple ギフトカードは、Appleでの購入に使えるよう、Apple アカウントの残高に金額を追加するものです。

Appleは、ギフトカードはAppleでの購入にしか使えず、ギフトカードでの支払いを求める相手は詐欺師の可能性が高いと警告しています。そもそも、Apple CashもApple ギフトカードも、アプリをインストールすると「ロック解除」してくれるWebサイトから提供されることはありません。

何も認証しない「認証」

私たちは、このページの3つのステップ（資格確認、端末認証、報酬の受け取り）の裏にあるコードを調べました。

資格確認の正体はタイマーです。 「場所：米国」を含む4つの項目が緑色に変わりますが、これは決まったスケジュールで点灯するラベルにすぎません。ページが利用者の所在地や使用デバイスを確認することはなく、誰でも4秒足らずで通過します。

端末認証の正体はアプリのインストールです。 ページはReco Socialというアプリをダウンロードするよう指示し、続けてアカウントを作成し、ゲームをインストールしてプレイするよう求めます。Reco Socialやその開発元が、この偽の報酬ページを作成または運営していた証拠は見つかっていません。

Download & Open Appをタップすると、ページは新しいタブでリンクを開きます。その5秒後、「Verifying device…（端末を認証中）」と表示され始めます。しかし、実際には何も認証されていません。ページには、利用者が何かをインストールしたか、アカウントを作成したか、ゲームをプレイしたかを知る手段がないからです。

報酬ボタンも同じリンクです。 ボタンをタップして10分後、ページは何かをインストールしたかどうかにかかわらず、自動的に次へ進み、「Device Verified Successfully（端末の認証に成功しました）」と表示します。Claim Your $750ボタンは、ウォレットに何かを追加するものではありません。ダウンロードボタンと同じリンクを開くだけです。

偽の緊急性

このページは、利用者がじっくり考える時間を与えないように作られています。

「本日の残り枠は47件のみ」という表示は、常に47から始まります。30秒ごとに1ずつ減り、3で止まるため、枠がなくなることはありません。
「750ドルを受け取りました」というポップアップは、15の名前と米国15州のリストからランダムに生成され、「何分前」もランダムです。訪問者全員に、8〜15秒ごとに新しいものが表示されます。
10分間の「セッション期限」カウントダウンは、ゼロになっても何も終了しません。

誰が報酬を得るのか

ダウンロードボタンは、App Storeに直接つながっていません。まず、taprkr[.]comのトラッキングリンクを経由します。こうしたリンクはアフィリエイトマーケティングで、クリックやインストールを、トラフィックを送った人の成果として記録するために使われます。

このリンクには「recosocial-cpr」というラベルが付いています。CPRは「cost per registration（登録あたりの報酬）」の略である可能性があり、これは誰かが登録するたびに宣伝者が報酬を得る契約です。ただし、このラベルだけでは、このオファーの報酬体系までは確認できません。

リンク先は、私たちのテストでは一定しませんでした。iPhoneでは「playful-rewards-revshare」というラベルのオファーに、PCでは広告ネットワークにつながりました。revshare（収益分配）契約では通常、ユーザーが後から使った金額（アプリ内課金など）の一部が宣伝者に支払われます。

トラッキングラベルからは、宣伝者が登録や宣伝対象アプリでの支出によって報酬を得ている可能性がうかがえます。ただし、このオファーの報酬体系が確認できたわけではありません。ユーザーは、約束された750ドルを受け取れません。

Reco Socialや、これらのリンク先にあるアプリが、偽のApple関連ページの背後にいるという証拠はありません。悪質なアフィリエイト宣伝者は、利用者をどのように誘導したかにかかわらず、インストールや登録によって報酬を得られるため、正規のアプリにトラフィックを送ることもあります。

このページは、広告主がキャンペーンの効果測定に使うTikTokのトラッキングピクセルも読み込んでいます。運営者がTikTokからのトラフィックを計測している可能性はありますが、リンクがどこで共有されたかまではわかりません。

「ただのアプリのインストール」でも被害はある？

パスワードやカード番号を盗むページと比べると、このページは無害に見えるかもしれません。しかし、それでも代償は払うことになります。

個人情報を渡してしまいます。 アカウントを作成すれば、嘘をきっかけに登録したサービスに、メールアドレスや電話番号、ソーシャルログインを渡すことになります。
課金を促される恐れがあります。 多くのモバイルゲームはアプリ内課金で収益を上げており、収益分配契約の場合は、利用者が支払うたびに誰かが利益を得ます。
次の詐欺の標的にされる恐れがあります。 偽の報酬オファーは、数珠つなぎで現れることがよくあります。次のオファーでは、Apple アカウントの情報やカード番号、「少額の手数料」を求められるかもしれません。
来るはずのない報酬を追いかけて、時間を失います。

身を守るには

オンラインでApple CashなどAppleに関連するオファーを見かけたら、次の点に注意してください。

アプリのインストールでApple Cashがもらえるとは考えないでください。 Apple CashやApple ギフトカードを受け取るために、サードパーティ製アプリのダウンロードやアカウント作成、ゲームのプレイを求める「Apple」のオファーは、疑ってかかりましょう。
Apple Cashの認証は「設定」でのみ行ってください。 本物の本人確認は、設定 > ウォレットとApple Pay > Apple Cashにあります。ほかの場所でApple Cashの「認証」を求めるWebサイトやメッセージは、不審なものとして扱ってください。
新製品の発売時や祝日の前後は特に注意してください。 iPhone Duoのお得な情報、プレゼント企画、予約オファーは、今後も出回り続けるでしょう。リンクをたどるのではなく、apple.comやApple Storeアプリに自分でアクセスしてください。
アドレスバーを確認してください。 AppleのWebサイトはapple.comです。applecashgiftcard[.]comのようなドメインのページは、見た目がどれほど似ていてもAppleではありません。
カウントダウンや「残り枠」は危険信号と考えてください。 偽の緊急性は、「なぜこんなことで750ドルもくれるのか」と疑問に思う瞬間を、急がせて通り過ぎさせるためのものです。
すでにこのようなページからアプリをインストールしてしまった場合は、 報酬は得られていないので、アプリを削除して構いません。そのアプリ経由で作成したアカウントも削除し、App Storeの設定でサブスクリプションを解約してください。ほかのアカウントでパスワードを使い回している場合は、変更しましょう。
ギフトカードでの支払いや、賞品を受け取るための支払いは絶対にしないでください。 FTC（米連邦取引委員会）は「正規の企業や政府機関が、支払いのためにギフトカードを買うよう求めることは決してありません」と述べています。「報酬」と引き換えに手数料やカード情報、ギフトカードのコードを求められたら、それは詐欺です。
報告してください。 Appleは、Appleをかたる不審なメッセージを[email protected]に転送するよう呼びかけています。広告や投稿を見かけたプラットフォームに報告することもできます。米国では、ReportFraud.ftc.govで詐欺を報告できます。

Malwarebytesによる対策

Malwarebytesは、既知の詐欺ページのブロックに役立ちます。対応ブラウザではBrowser Guardを、Safariで閲覧する場合はMalwarebytes for iOSのWeb保護をご利用ください。

リンクやテキスト、オファーが本物かどうか判断できないときは、クリックする前にMalwarebytes Scam Guardに問い合わせることもできます。

「地球上で最高のサイバーセキュリティスイートの1つ」

CNETによる評価です。レビューを読む →

ステファンは幼い頃からアンチウイルスソリューションに情熱を注ぎ、マルウェアのテストやAV製品のQAに携わってきました。Malwarebytesのチームの一員として、顧客の保護とセキュリティの確保に尽力しています。

翻訳元: https://www.malwarebytes.com/blog/scams/2026/11/the-fake-750-apple-cash-reward-that-pays-out-nothing