ネットでどのように標的型の操作が行われているのか

K2LStudio – shutterstock.com

国際的な大規模グレーマーケットで取引されるモバイル通信のSIMカードが、インターネット上での操作や詐欺行為を大々的に助長している。ケンブリッジ大学の調査によると、SMSActivate、5Sim、SMShub、SMSPVAといった事業者が提供する物理・仮想SIMカードは、ソーシャルメディア・プラットフォームやEコマース事業者における偽オンラインアカウントの認証に利用されているという。「私たちは、非真正なコンテンツ、偽の人気度、政治的影響キャンペーンが、簡単かつ公然と売買されている繁栄した地下市場を目の当たりにしています」と、調査を共同主導したジョン・ルーゼンビーク氏は述べている。

疑わしい、あるいは犯罪的なボットがSMSで認証される

多くのオンラインプラットフォームは、新規アカウント開設の際にSMSによる認証を求めている。このセキュリティ対策は、アカウントの真正性を確認し、大量の偽プロフィール作成を抑制することを目的としている。本来であれば、WhatsApp、Telegram、Facebook、X、Shopify、Amazonといったサービスのアカウントを開設しているのが人間であることを確認するための仕組みだ。しかしグレーマーケットのSIMカードを使うことで、実際にはバーチャルなボット軍団が認証されてしまっている。

犯罪者だけでなく、不透明な政治的アクターも、偽アカウントを利用して自らのオンライン上の存在感を実際以上に大きく見せている。一例として、「いいね」やフォロワー数、シェア数などを購入または操作することで、アカウントを人気があるように見せかけるといった具合に、数字が人為的に水増しされる。見た目は立派でも、実際にはほとんど意味を持たない数字だ。

さらに、グレーマーケットのSIMカードを使って、意図的に怒りをかき立てたり挑発的なコンテンツを投稿するソーシャルメディアアカウントも作られている。多くの人が激しく反応し、コメントするよう仕向けるためだ。こうした行為は、トレンドを生み出し、何も知らない一般ユーザーにも影響を与えることを狙って、計画的かつ組織的に行われることが多い。

WhatsAppとTelegramの認証は特に高額

ケンブリッジの研究者たちは、偽SIMによる認証の価格が、利用されるアプリケーションやSIMカードの想定される発行国によって大きく異なることも突き止めた。最も高いのはWhatsAppで、1回の認証あたり平均1.02米ドル。次いでTelegramが、1アカウントの認証につき0.89ドルだった。 

一方で、WhatsAppやTelegramとは異なり、ユーザーの携帯電話番号が公開されないオンラインプラットフォームの認証は、より安価である。Facebook、Grindr、Shopifyは、1回の認証あたり平均8セント。XとInstagramは10セント、TikTokとLinkedInは11セント、Amazonは平均12セントとなっている。

SIMカード認証の取引を可視化するため、研究者たちは「Cambridge Online Trust and Safety Index（COTSI）」を開発した。これは、197カ国および500以上のプラットフォームにおけるSMS認証の1日ごとの価格を記録する指標だ。

ボットの価格は国政選挙前に上昇

ウェブ上でcotsi.orgから無料で利用できるCOTSIデータを用いて、研究者たちは市場が政治イベントにどう反応しているのかも分析した。そのために、61件の国政選挙の前に、8つのソーシャルメディア・プラットフォーム（Google/YouTube/Gmail、Facebook、Instagram、Twitter/X、WhatsApp、TikTok、LinkedIn、Telegram）に関する価格データを調査した。その結果、国政選挙の30日前には、TelegramとWhatsAppアプリのSMS認証価格が顕著に上昇することが分かった。Telegramの認証価格は平均12％上昇し、WhatsAppでは15％の上昇が見られた。一方、他の6つのプラットフォームでは価格は安定していた。

SMS認証のコストは、使用されるSIMカードの発行国によっても左右される。特に高額だったのは日本発行のSIMカードで、認証1回あたり平均4.93ドル。次いでオーストラリア（3.24ドル）、トルコ（2.54ドル）、マルタ（2.18ドル）が続く。安価なSIMカード発行国としては、米国が1回あたり26セント、英国が10セント、ロシアが8セントとなっている。ドイツは中間的な位置づけだ。認証に使われるSIMカードが、ドイツの4つのモバイルネットワーク（Deutsche Telekom、Vodafone、Telefónica O2、1&1）のいずれかに属している場合、1回の認証あたり平均63セントが必要となる。

「大量のSIMカード調達を難しくすべきか？」

研究では、SIMカードの大量調達と大量利用を困難にすべきかどうかについて、議論を促している。研究者たちは、英国では4月以降、正当な理由なく、いわゆる「SIMファーム」を運用することが禁止されていると指摘する。SIMファームとは、多数のSIMカードを同時に収容できる技術装置で、しばしば数十枚から数百枚のSIMカードが搭載される。これにより、大量のSMS送信、電話番号の迅速な切り替え、多数の認証を一度に行うことが可能になり、多数のオンラインアカウントを同時に作成したり、大量の詐欺的フィッシングメッセージを送信したりできてしまう。

同時にケンブリッジの研究者たちは、プラットフォーム事業者に対し、認証に使用されたSIMカードの発行国をより透明化するよう求めている。Google/YouTube/Gmail、Facebook、Instagram、Twitter/X、TikTok、LinkedInといったサービスでは、アカウントが登録されている国は、他のユーザーからは通常見えない。一方で、メッセージングアプリでは、アカウントがどこの国に由来するかが容易に分かる。（dpa/jm）