2026.10.10

ChatGPTやClaudeの「広告ツール」を装う詐欺サイトが見つかる。「つなぐ」ボタンから、広告アカウントのパスワードと確認コードを盗む

キラ

記事内に商品プロモーションを含む場合があります

・セキュリティ会社のIslandが2026年10月6日、ChatGPT、Gemini、Claude、Perplexity、Manus、Meta Museの「広告向けAIツール」を装い、広告アカウントを乗っ取る詐欺サイトの調査を公開した

・「Connect（つなぐ）」ボタンを押すと、本物そっくりのGoogleのログイン画面がページの中に描かれ、パスワードと、2段階認証の確認コードまで盗まれる。裏では人が画面を見ながら操作していた

・狙われるのは、広告アカウントを管理する人。乗っ取られると、登録された支払い方法や予算で勝手に広告を出されたり、アカウントを売られたりするおそれがある

セキュリティ会社のIslandは2026年10月6日、AIのツールを装った詐欺サイトについての調査を公開しました。

詐欺サイトは、ChatGPTやClaudeなどの「広告の運用を手伝うAIツール」を名乗り、広告アカウントのつなぎ込みを求めてきます。中身は、広告アカウントを乗っ取るための、手の込んだ仕掛けでした。

この記事では、Islandの調査で分かったことを整理したうえで、ふだんの仕事がどう変わるのかを考えます。

ChatGPTやClaudeなど6つのAIの「広告ツール」を装っていた

まずは、どんなAIを装っていたのかを見ていきます。

Islandの調査によると、詐欺サイトは、AIごとに次のような「広告向けの新しいツール」をうたっていました。

装っていたAI	うたっていた内容
ChatGPT	毎週のGoogle広告の報告
Gemini	複数の広告アカウントをまとめて管理する機能
Claude	広告の管理画面
Perplexity	広告の計画と、使ったお金の点検
Manus	Metaとの非公開のつなぎ込み
Meta Muse	「Muse Ads」という広告ツール

Meta Museは、Metaが2026年9月8日に発表したAIエージェントです。9月29日には、本物のMuseにも、広告アカウントにつなげる事業者向けの機能が加わりました（Muse for Small Businessの記事）。Islandによると、Museの発表のわずか8日後には、偽の「Muse Ads」のページが作られていました。新しいAIが話題になると、すぐにその名前が詐欺に使われることが分かります。

「つなぐ」を押すと、ページの中に偽のログイン画面が描かれる

次に、だましの手口です。

Islandの調査によると、流れは次のとおりです。

・サイトには、ほぼ「Connect（つなぐ）」ボタンしかない

・ボタンを押すと、Googleのログインの小窓が開いたように見える。実際は、ページの中に描かれた偽の小窓で、アドレス欄にも「accounts.google.com」と本物の住所が表示される

・パスワードは3回まで入力させ、すべて記録する

・裏では人が見ていて、相手に合わせて、SMSの確認コード、認証アプリのコード、スマートフォンへの承認の通知などを、次々に求める

Islandは、この手口を「ブラウザの中のブラウザ」と呼んでいます。Googleのほか、Meta、TikTok、会社向けのログインサービスのOktaの画面も用意されていました。パソコンとスマートフォンのどちらでも、それらしく見えるように作られていたとしています。

狙いは広告アカウント。支払い方法と予算がそのまま使われる

ここで、なぜ広告アカウントが狙われるのかを見ておきます。

Islandは、広告アカウントには、次のものがそろっていると指摘しています。

・登録された支払い方法

・承認ずみの広告の予算

・取引先から預かっている、ほかの広告アカウントへの入り口

乗っ取った人は、その予算で勝手に広告を出したり、アカウントを売ったりします。本来の持ち主は、権限を下げられて、何週間から何か月も取り戻せないことがあるとしています。Islandは、調べた範囲で「数百件」の入力が送られていたと書いています。

同じ仕組みは、求人や返金の案内を装った詐欺にも使われていました。

仕事はどう変わるか：AIツールへの「つなぎ込み」は、アカウントを渡すことと同じだと考える

ここからは、Islandの調査をもとにした僕の見方です。

今回の手口で変わるのは、新しいAIツールの「試し方」だと考えています。

AIの新しいツールは、毎週のように出てきます。「広告をAIで自動で改善」「無料で点検」とうたわれると、まずはつないで試してみたくなります。ところが、今回のように、ログイン画面のアドレス欄まで本物そっくりに描かれてしまうと、見た目だけでは見分けられません。

Islandは、知らないAIのつなぎ込みや試験提供の案内は「アカウントへの入り口を求められている」と考えるよう勧めています。

自分でGoogle広告やMetaの広告を出している個人事業主ほど、広告アカウントには支払い方法がつながっています。被害は、取引先のアカウントにまで広がるおそれがあります。

あわせて、知っておきたいこともあります。

・新しいAIツールは、検索や広告からではなく、その会社の公式サイトから入って、本当にあるツールかを確かめる

・ログインの小窓が出たら、ページの外に動かせるかを試す。ページの中に描かれた偽の小窓は、ブラウザの外に動かせない

・ログインには、パスキーなど、本物のサイトでしか使えない方法を使うと、こうした手口を防ぎやすい

・入力してしまったら、すぐにパスワードを変え、広告アカウントに知らない管理者が増えていないか、支払いや予算が変わっていないかを確かめる

まとめ：ChatGPTやClaudeの広告ツールを装う詐欺が見つかる。知らないAIへのつなぎ込みは、まず公式で確かめる

セキュリティ会社のIslandは、ChatGPT、Gemini、Claudeなど6つのAIの「広告ツール」を装い、広告アカウントのパスワードと確認コードを盗む詐欺サイトを報告しました。ページの中に描いた偽のログイン画面で、2段階認証まで突破しようとしていました。

新しいAIツールにアカウントをつなぐことが、アカウントそのものを渡すことになりうる、というのがいちばん大きな学びです。

知らないAIツールから「つなぐ」を求められたら、押す前に、その会社の公式サイトで本当にあるツールかを確かめるのがよさそうです。

出典

・Island「Behind the Connect Button: The Fake AI Ads Campaign」（2026年10月6日） https://www.island.io/blog/behind-the-connect-button-the-fake-ai-ads-campaign

・BleepingComputer「Fake ChatGPT, Gemini sites steal advertising accounts, MFA codes」（2026年10月6日） https://www.bleepingcomputer.com/news/security/fake-chatgpt-gemini-sites-steal-advertising-accounts-mfa-codes/

#ChatGPT #Claude #セキュリティ

ABOUT ME