セキュリティ研究者とテクノロジー系スタートアップ企業の CEO が、Gmail ユーザーの一部が、アカウントを乗っ取られる可能性のある、高度な AI ベースの詐欺の被害者になる可能性があると警告した。
有名なテクノロジー系ベンチャー キャピタル企業 Ycombinator の CEO は先週末、X に、AI 生成の音声を使用する「かなり手の込んだ」フィッシング詐欺があると書いた。
「Google サポートを名乗る AI 音声を使用した、かなり手の込んだフィッシング詐欺にご注意ください (発信者番号は一致しますが、確認されていません)。このダイアログで [はい] をクリックしないでください。フィッシングに遭います」と、10 月 10 日付けの X の投稿で Garry Tan 氏 は「公共広告」と呼んでいる記事で書いています。
「彼らは、あなたが生きているかどうかを確認していると主張しており、家族があなたのアカウントを回復していると主張する死亡証明書は無視すべきだと言っています。これは、パスワード回復を許可させるためのかなり手の込んだ策略です」と Tan 氏は述べました。
セキュリティ研究者は先月のブログ記事で、Gmailアカウントを狙った同様の詐欺行為について書いた。この詐欺行為もAI生成音声を使用している。
「詐欺行為はますます巧妙化し、説得力も増し、さらに大規模に展開されている」とITコンサルタントのサム・ミトロヴィッチ氏は記事で述べた。「人々は忙しいし、この詐欺行為は十分に本物らしく聞こえたし、その努力にはA評価を与える。多くの人が騙される可能性が高い」
記事によると、ミトロヴィッチ氏はGmailアカウントの回復を試みるよう承認する通知を受け取ったが、最終的には拒否したという。その後約40分後に「Google Sydney」という発信者番号の電話がかかってきて、やはり拒否した。
「ちょうど 1 週間後」と彼は付け加えた。「ほぼ同じ時間に、米国から Gmail アカウントの復旧を再度承認するようにという別の通知を受け取りました。」
「お察しのとおり、約 40 分後に電話がかかってきて、今度は電話に出ました。アメリカ人の声で、とても丁寧でプロフェッショナルでした。番号はオーストラリアのものでした。彼は自己紹介し、私のアカウントに不審なアクティビティがあると言いました」とミトロビッチは続けた。
電話の相手はミトロビッチが旅行中かどうか尋ね、彼の話によると、彼は旅行中ではないと答えた。次に相手はミトロビッチがドイツにいるかどうか尋ね、彼もノーと答えた。
ミトロビッチは、発信者の番号が Google オーストラリアの IT サポート ページに掲載されている公式の番号であることがわかったと述べ、確認メールを求めたところ、そのメールも Google チームが使用する公式アカウントのようだったと付け加えた。
「背後で誰かがキーボードを打つ音が聞こえ、通話中はコール センターを思わせるバックグラウンド ノイズが聞こえました。彼は私に、メールを送信したと伝えた。しばらくしてメールが届き、一見するとメールは本物に見える。送信者は Google ドメインの人だ」と彼は書いた。
しかし研究者は、「メールアドレスのなりすましは簡単で、宛先欄には GoogleMail at InternalCaseTracking dot com という巧妙な名前のメールアドレスが含まれている」が「Google ドメインではない」と指摘した。
「発信者は Hello と言ったが、私はそれを無視し、約 10 秒後にもう一度 Hello と言った」と彼は述べ、その瞬間に「発音と間隔が完璧すぎたため」音声が AI 生成だと気付いたと付け加えた。
ミトロビッチ氏は、電話を切ってその番号にかけ直したと書いた。すると、「こちらは Google マップです。現在、お客様の電話には出られません」というメッセージが届いた。
研究者は、詐欺に遭いそうになったのは自分だけではないようで、同様の計画の標的になったと書いている人が他にもいると述べた。
公共広告: Google サポートを名乗る AI 音声を使用した、かなり手の込 んだフィッシング詐欺にご注意ください (発信者番号は一致しますが、確認されていません)
このダイアログで [はい] をクリックしないでください。フィッシング詐欺に遭います
彼らは、あなたが生きているかどうかを確認していると主張しています… pic.twitter.com/60zeuS2lL8
— Garry Tan (@garrytan) 2024 年 10 月 10 日
「詐欺師と戦うためのツールはたくさんありますが、個人レベルでは、警戒を怠らず、上記の基本的なチェックを行うか、信頼できる人に支援を求めることが最善のツールです」ミトロヴィッチ氏は警告する。
ブログ記事によると、研究者は、これは彼の Google または Gmail アカウントを乗っ取ろうとする試みだった可能性を示唆するいくつかのヒントがあったと述べた。
ミトロヴィッチ氏は、詐欺の明らかな兆候として、自分が開始していないアカウント復旧メッセージを受け取ったこと、Google は Google ビジネス プロフィールを持っていない限りユーザーに電話をかけないこと、受信したメールに「宛先のメール アドレスは Google ドメインに接続されていない」とあったこと、自分のもの以外にアクティブな Google セッションがなかったこと、メールのヘッダーに「メールが偽装された方法」が示されていたこと、および「逆番号検索で同じ詐欺電話を受けた他の人が見つかったこと」を挙げた。
「詳しく調べたところ多くの危険信号があったにもかかわらず、この電話は多くの人を騙すのに十分なほど正当なものに見えた」と同氏は警告した。「私の推測では、電 話に出た場合のコンバージョン率は比較的高いだろう」。
エポック タイムズは月曜日、ミトロヴィッチ氏とタン氏の警告について Google にコメントを求めたが、記事掲載時までに回答はなかった。