レポート 6314

AIID 編集者注: これはレポートの若干の要約版です。完全なレポートについては、元のソースをご覧ください。 概要 ----------------- 当社の研究者は、CEO、ニュースキャスター、政府高官など、さまざまな著名人の肖像を使用したディープフェイク動画を使用した詐欺キャンペーンを数十件発見しました。これらのキャンペーンは、英語、スペイン語、フランス語、イタリア語、トルコ語、チェコ語、ロシア語で表示されています。各キャンペーンは通常、カナダ、メキシコ、フランス、イタリア、トルコ、チェコ共和国、シンガポール、カザフスタン、ウズベキスタンなど、1つの国の潜在的な被害者をターゲットにしています。インフラストラクチャと戦術の類似性により、これらのキャンペーンの多くは、単一の脅威アクターグループに起因している可能性が高いと考えています。この脅威アクターグループがディープフェイク動画を使用して、偽の投資スキームや偽の政府後援の景品を拡散していることを確認しています。2024年6月の時点で、これらのキャンペーンを宣伝するために使用されているドメインが数百件発見されています。弊社のパッシブDNS（pDNS）テレメトリによると、各ドメインは公開以来、世界平均で114,000回アクセスされています。Quantum AIと呼ばれる投資スキームを宣伝するキャンペーンを皮切りに、このキャンペーンの背後にあるインフラストラクチャを調査し、その拡散の経時的な変化を追跡しました。このインフラストラクチャ調査を通じて、同一の脅威アクターグループが作成・宣伝した、全く異なるテーマを利用した複数のディープフェイクキャンペーンを発見しました。これらの詐欺キャンペーンでは、異なる言語や著名人の肖像が使用されており、各キャンペーンが異なるターゲット層を対象としていることが示唆されています。これらのキャンペーンでは生成AI（GenAI）が使用されていますが、従来の調査手法は、これらの脅威アクターが利用するホスティングインフラストラクチャを特定する上で依然として有効です。脅威アクターによるディープフェイク技術の悪用が増加するにつれ、防御側もこの種の攻撃を積極的に検知・防御する取り組みを強化する必要があります。 Palo Alto Networks のお客様は、高度な URL フィルタリング によってこれらの攻撃からより強力に保護されており、ディープフェイクベースの詐欺キャンペーンを広めるために使用される Web サイトを継続的に検出してブロックします。 | Unit 42 の関連トピック | 詐欺、フィッシング | | --- | --- | 量子 AI ホスティング インフラストラクチャの検出 --------------------------------------------- 量子 AI キャンペーンを調査するために、これらの攻撃をホストしている Web サイトの背後にあるインフラストラクチャを分析することにしました。ディープフェイク ビデオ検出パイプラインからの最初のシード検出セットから始めて、既知の悪意のあるビデオを提供する追加の Web サイトを探しました。新しく登録されたドメインでホストされている Web サイトを介して攻撃者が広く共有している量子 AI 関連のビデオをいくつか確認しました。さらに調査を進めた結果、動画自体は主に単一のドメイン（Belmar-marketing[.]online）でホストされていることが判明しました。次に、このドメインの動画ファイルを提供し、HTMLコンテンツに「Quantum AI」などのキーワードを含む他のウェブページを検索しました。このプロセスを通じて、これらの動画をルアーとして利用している詐欺ページを数十件発見することができました。その後、これらのウェブページのコンテンツと動画ファイルのパス名を使用してシグネチャを作成し、検出範囲を拡大しました。 （URLの例については、侵害の兆候セクションを参照してください。）2024年5月、私たちは、量子AIビデオが他のドメインでもホストされていることが増えていることに気付きました。これには次のものが含まれます。 - Ai-usmcollective[.]click - Fortunatenews[.]com - Fiirststreeeet[.]top また、ウェブサイトビルダーを使用して構築され、同じ量子AI詐欺を宣伝するサイトもいくつか発見しました。これらのケースでは、攻撃者は、上記の共有ビデオホスティングドメインのいずれかではなく、ウェブサイトビルダーを介してサイトに直接ビデオを再ホストしていました。 ### 量子AIのサンプル動画とWebページ 図1～7は、当社の動画分析パイプラインとインフラベースの調査によって発見された量子AI詐欺のWebページと動画の例を示しています。これらの例のほとんどにおいて、詐欺Webページは新規登録ドメインでホストされており、動画は前述の共有動画ホスティングドメイン（例：belmar-marketing[.]online）のいずれかに.mp4ファイルとしてホストされていました。ほとんどの場合、攻撃者は正規の動画をベースに、独自のAI生成音声を追加しているようです。最後に、リップシンク技術を用いて、話者の唇の動きをAI生成音声に合わせて修正しています。ほとんどの動画ではイーロン・マスクを著名人として利用していますが、他の著名人を使用している例もいくつか発見しました。 - タッカー・カールソン - リー・シェンロン（シンガポール元首相） - ターマン・シャンムガラトナム（シンガポール大統領、2024年6月時点） 図1. Huerwlleiss-herton[.]pro、量子AI詐欺を宣伝するためにイーロン・マスクのディープフェイク動画を使用しているウェブサイト。 図2. Bitquantumai[.]comは、イーロン・マスクとタッカー・カールソンのディープフェイク動画を使用してQuantum AI詐欺を宣伝するウェブサイトです。 図3. Quantum AI詐欺を宣伝するために使用されたウェブサイト「Quantumal[.]xyz」。このウェブページでは、ログインするために紹介コードの入力を求められます。 図 31. アリシェル・ウスマノフ（ウズベキスタンとロシアの実業家）のディープフェイク動画を含む詐欺 Web ページのスクリーンショット。例 8 - Web ページ URL: hxxps://naatuureeffocus[.]com/ - 動画 URL: hxxps://ai-usmcollective[.]click/videos/USM_novosti-usmanov_UZ[.]mp4 - 言語: ロシア語 - 対象国: ウズベキスタン - ディープフェイクの人物: アリシェル・ウスマノフ (ウズベク人とロシア人のビジネスマン) - 概要: ウズベキスタン国民向けの新しい投資プラットフォームの紹介 #### 2024 年 9 月 19 日更新 図 32. ドナルド・トランプのディープフェイクを含む詐欺ビデオのスクリーンショット。例 9 - Web ページの URL: mtgaeth[.]vip - 動画の URL: hxxp://mtgaeth[.]vip/video/videos-2[.]mp4 - 言語: 英語 - 対象国: アメリカ合衆国 - ディープフェイクの対象: ドナルド・トランプ (アメリカ合衆国第 45 代大統領) - 概要: 偽の「アメリカ通貨基金 (AMF) 小切手」を販売。アメリカ人は 2024 年の米国大統領選挙後にこの小切手を 1 万ドル換金できる。 BBC ニュースでイーロン・マスク氏の新しい投資プロジェクトについて報道するマシュー・アムロリワラ氏のディープフェイク。イギリス国民は投資収益を受け取ることになると述べている。画面には「EXCLUSIVE」および「UK」のタグと、17:22 のタイムスタンプが表示されます。](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/09/F33-636x440.png) 図 33. マシュー・アムロリワラ (BBC ニュースキャスター) のディープフェイクを含む詐欺ビデオのスクリーンショット。例 10 - Web ページの URL: bitvidex360[.]trade - 動画の URL: hxxps://bitvidex360[.]trade/wp-content/uploads/2023/08/Bitvidex360-Trade[.]mp4 - 言語: 英語 - 対象国: イギリス - ディープフェイクの人物: マシュー・アムロリワラ (BBC ニュースキャスター) - 概要: イギリス在住者が 1 日あたり 5,700 ポンドの収入を得ることができる、イーロン・マスクによる偽の投資プロジェクトを発表 図 34. ルイス・イナシオ・ルーラ・ダ・シルバ（ブラジル大統領）のディープフェイク動画を含むフィッシング Web ページのスクリーンショット。例 11 - Web ページの URL：consultar-resgate[.]com/ll/etapa2 - 動画の URL：hxxp://consultar-resgate[.]com/videos/vsl[.]mp4 - 言語：ポルトガル語 - 対象国：ブラジル - ディープフェイクの人物：ルイス・イナシオ・ルーラ・ダ・シルバ（ブラジル大統領） - 概要：政府のデータベース システムの障害により個人データが漏洩したブラジル国民に補償金を支払う、Indeniza Brasil と呼ばれる政府プログラムを発表 図35. エモマリ・ラフモン（タジキスタン大統領）のディープフェイクを含む詐欺動画のスクリーンショット。例 12 - Web ページ URL: crisiswatch[.]online - 動画 URL: hxxps://ai-usmcollective[.]click/videos/GP_prez-tajikistan_RU[.]mp4 - 言語: ロシア語 - 対象国: タジキスタン - ディープフェイクの対象: エモマリ・ラフモン (タジキスタン大統領) - 概要: ガスプロムとの提携による、政府主催の偽の景品提供を発表 #### 2024 年 10 月 23 日更新 図 36. ジャグミート・シンのディープフェイク動画を含む詐欺 Web ページのスクリーンショット(カナダの政治家)。 - ウェブページURL：weixinchannelsmall[.]com - 動画URL：hxxps://d2l7oiuw3gwvbg[.]cloudfront[.]net/video/JagmeetSingh_923_jag[.]mp4 - 言語：英語 - 対象国：カナダ - ディープフェイクの人物：ジャグミート・シン（カナダの政治家、新民主党の党首） - 概要：インペリアル・オイルとの提携による偽の政府支援投資プログラムを発表！ クリスティーヌ・ラガルド欧州中央銀行総裁が、背景にECBのロゴを配した演壇で演説しているディープフェイク。 図37。 クリスティーヌ・ラガルド欧州中央銀行総裁のディープフェイクを含む詐欺動画のスクリーンショット- ウェブページURL: kotrotshmot[.]site - 動画URL: hxxp://kotrotshmot[.]site/video/1735[.]mp4 - 言語: 英語 - 対象地域: EU - ディープフェイクの人物: クリスティーヌ・ラガルド(欧州中央銀行総裁) - 概要: 欧州中央銀行とユーロシステムが立ち上げた偽の投資プロジェクトの紹介 図 38. Tagesschau (ドイツのテレビニュース番組) を模倣し、Theodor Weimer (ドイツ取引所の元 CEO) のディープフェイクを使用した偽ニュース Web サイトのスクリーンショット。 - ウェブページURL：new-company[.]store - 動画URL：hxxps://new-company[.]store/video/1512_3[.]mp4 - 言語：ドイツ語 - 対象国：ドイツ - ディープフェイクの人物：テオドール・ヴァイマー（ドイツ人実業家、ドイツ取引所元CEO） - 概要：大手銀行が作成した偽の株式取引アルゴリズムを試すための期間限定オファーを宣伝！モルドバ大統領が演壇で演説しているディープフェイク動画を掲載したニュース記事が表示されているMaibのウェブサイト。背景にはモルドバの国旗が描かれています。 図39. マイア・サンドゥ（モルドバ大統領）のディープフェイク動画を含む詐欺ウェブページのスクリーンショット。 - ウェブページURL：currencyspot[.]buzz - 動画URL: hxxps://ai-usmcollective[.]click/videos/Maib_prezident_RU[.]mp4 - 言語: ロシア語 - 対象国: モルドバ - ディープフェイクの人物: マイア・サンドゥ（モルドバ大統領） - 概要: モルドバ国民に毎月最大3万レイを提供すると主張する「Maib」と呼ばれる偽の投資プロジェクトを宣伝している。