AIが覚えた偽の過去問、カスタマーサポートの番号が詐欺師につながった
ChatGPT・Gemini・Google の AI による概要が、偽のカスタマーサポート番号を本物のように教えてしまう手口が公開されました。研究者は名前を悪用された企業を少なくとも374社、偽の連絡先ページを数万件見つけました。AI がどうやって騙されたのか、電話をかける前に何を確認すればいいのかをまとめました。
試験の前日になると、必ずこういう友人が一人はいます。先輩たちが残した過去問をたくさん集めてくる友人です。
その友人の勉強法は単純です。過去問10枚に同じ答えが書いてあれば、それを正解として覚えます。職員室前の掲示板に貼られていた過去問なら、もっと信じます。先生の近くにあった紙だからです。
私たちはその友人に「3番の答えは何?」と聞きます。友人は自信たっぷりに答えます。私たちは過去問を自分で見ません。答えだけ写します。
ところが、誰かが夜通し間違った答えが書かれた偽の過去問を数万枚コピーして、あちこちに紛れ込ませておいたらどうなるでしょうか。友人は相変わらず親切で、相変わらず自信たっぷりです。答えだけが間違っているのです。
先週、あるセキュリティ研究者が公開した手口が、まさにこの形です。過去問を集めて答える友人の席にAI チャットボットが座っています。間違った答えはカスタマーサポートの電話番号です。
こんな場面で起こります
飛行機の予定が変わったとしましょう。予約がこじれて、航空会社に電話しなければなりません。
最近は検索窓で番号を探す代わりに、ChatGPT や Gemini に聞いたりします。Google で検索すると、結果の一番上にAI による概要が先に表示されることもあります。AI による概要は、Google が複数のウェブページを読んで答えを一段落にまとめて見せてくれる機能です。そこに「○○航空 カスタマーサポート」の番号が太字で出てきます。
その番号に電話をかけます。オペレーターが応答します。予約を確認する必要があるので、カード番号と有効期限を教えてほしいと言われます。
SMS のリンクを押したわけでもありません。怪しいアプリを入れたわけでもありません。**自分から電話をかけたのです。**だから疑う隙がなかなか生まれません。
事実 研究者が名前を悪用されたと挙げたところには、デルタ・ルフトハンザ・ユナイテッド・エミレーツ・カタール航空のような航空会社があります。バンク・オブ・アメリカ・ウェルズ・ファーゴ・チェース・シティのような銀行もあります。Airbnb・トリップアドバイザーのような旅行プラットフォームも入っています。海外旅行の際に多くの人が使う名前です。
事実 狙われているのは電話番号だけではありません。偽のメールアドレスと偽のログインページも同じ方法で広められました。
推定 ですから、航空便の変更・払い戻し、カードの問題、宿泊予約の問題で AI に連絡先を尋ねる人は誰でもこの場面に入り込む可能性があります。秋夕(チュソク)連休の直後で、旅行の問い合わせが多い時期でもあります。
変だと気づける瞬間
サインは2か所から来ます。
**ひとつ、番号が違います。**AI が教えてくれた番号が、その会社の公式アプリ、公式ホームページ、カード裏面に書かれた番号と違います。
**ふたつ、オペレーターのほうから求めてきます。**電話に出るなりカード番号を全部読み上げてほしいと言います。SMS で届いた認証番号を教えてほしいと言います。手数料を別に決済してほしいと言います。
過去問のたとえで言えばこうです。友人が教えてくれた答えが教科書に書かれた答えと違う瞬間です。
なぜ AI が騙されるのか
過去問の友人の話に戻ります。その友人に間違った答えを覚えさせるには、3つが必要です。偽の過去問がたくさんあること、信頼できる場所に貼ってあること、そして先生のチェックを通過すること。今回の手口はこの3つをすべて備えていました。
事実 大量にばらまきました。攻撃者たちは偽の連絡先を載せた投稿・PDF 文書・レビュー・偽のカスタマーサポートページをインターネット上に大量にアップロードしました。研究者が見つけた悪性ページだけで数万件です。
推定 AI は複数の場所で同じ番号を見ると、正しい情報だと判断しやすくなります。過去問10枚に同じ答えがあれば信じる友人と同じです。ブリーフも数万件という規模をこのように解釈しています。
事実 信頼できる場所に貼りました。偽の投稿は Instagram・Tumblr・YouTube といった SNS に上げられました。Medium・WordPress・Google サイト・GitHub Pages のようなブログ・ホームページサービスにも上げられました。Yelp・Apple マップのようなレビュー・地図サービスにもありました。ファイルをアップロードできる教育・政府機関のサイトまで使われました。信頼できる場所に載っていれば AI がより信じるという点を狙ったと研究者は説明します。職員室前の掲示板に過去問を貼ったようなものです。
事実 チェックをすり抜けました。偽の番号の間にスペースを入れました。絵文字を挟んだり、見た目は数字のようでもコンピューターには別の文字として読まれる特殊文字を混ぜたりしました。こうするとスパムフィルター、つまり怪しい書き込みを自動で除外する仕組みは番号として認識できません。ところが AI はこれを電話番号として読み取ります。先生には読めないように崩して書き、友人には読めるように書いた過去問です。
事実 業界では、AI の回答に自分の情報がよく出るように文章を整える作業を**生成エンジン最適化(GEO)**と呼びます。もともとは企業が使うマーケティング手法です。今回の手口は、それを逆に詐欺に使ったものです。
事実 研究者が汚染を確認した AI は3つです。ChatGPT、Google Gemini、Google 検索の AI による概要です。
事実 そして決定的な点がひとつあります。GIGAZINE は、ユーザーは AI の回答だけを見るため、その情報の出どころである悪性ページを見る機会がないと報じました。私たちが過去問を自分で覗き込まずに、友人の答えだけを写すのと同じです。偽の過去問を目にする機会がまったくないのです。
数字で見た規模
| 数字 | 何か | 自分にとっては |
|---|---|---|
| 374社 | 研究者が確認した、名前を悪用された企業(最低) | 航空会社・銀行・旅行プラットフォーム・フォーチュン100企業(米国の経済誌が売上で順位付けした上位100社)が入っている。自分が使っているところがリストにある可能性がある |
| 数万件 | 偽の連絡先が入った悪性ページ | 同じ偽の番号が複数の場所にあるため、AI が正しい情報だと判断してしまう |
| 91% | AI チャットボットの回答を別途確認しないユーザーの割合 | 10人中9人を超える。自分もここに入る可能性が高い |
事実 374社と数万件は研究者本人の記事から出た数字です。研究者一人が見つけたものだけでこの程度だという意味です。全体の規模を数えた数字ではありません。
事実 91%は Exploding Topics が2026年8月に行ったアンケートの結果です。GIGAZINE がこのアンケートを引用して報じました。今回の事件の被害者数ではありません。AI を使う人たちの習慣を示す数字です。
事実 Dark Reading は、AI が教えた偽の番号に連絡して決済情報やカード情報を渡してしまったという被害の訴えが数件あったと報じました。何件なのか、いくら失ったのかは出ていません。
事実 研究者は Google と OpenAI にこの問題を知らせました。Google は脆弱性報奨金制度の対象ではないと答えました。脆弱性報奨金制度は、セキュリティ問題を見つけて報告した人に会社が報奨を与える制度です。OpenAI は再現しないとして報告をクローズしました。
推定 ですから、AI 企業が自主的に直してくれるのを待つより、自分で確認したほうが早いです。過去問が間違っていると知らせたのに「我々の責任ではない」という答えが返ってきた状況なのですから。
今やること
過去問の代わりに教科書を開けばいいのです。今回の教科書は、会社が直接示した番号です。
- **カスタマーサポートの番号は AI の回答や検索の概要から写しません。**その会社の公式アプリで探します。または、アドレスバーに直接入力して開いた公式ホームページ、あるいはカード裏面で確認します。
- すでに AI が教えた番号に電話してカード情報を伝えてしまったなら、すぐにカード会社に電話します。カードを止めて再発行を依頼します。このときも、カード会社の番号はカード裏面で探します。
AI に尋ねること自体が問題ではありません。ただ、連絡先とログインのアドレスだけは、友人の答えではなく教科書と照らし合わせます。
私たちが分からないこと
今回の件はまだ空欄が多く残っています。分かっているかのように書かないよう、別にまとめました。
- 韓国企業が374社に入っているのかは公開されていません。国内の航空会社・銀行・カード会社の番号も汚染されたと言える根拠はありません。
- 韓国語で尋ねても同じ偽の番号が出るのかは確認されていません。
- 実際の被害件数と被害額は出ていません。報じられたのは「数件の被害の訴え」だけです。研究者の記事にも金銭被害につながったという記述はありますが、件数や金額はありません。
- 攻撃主体が誰なのか、単一の組織なのか複数の組織なのかは明らかになっていません。国籍や所属は推定しません。
- 今この瞬間もそれぞれの AI が偽の番号を答えるのかは分かりません。OpenAI と Google がその後に対処をしたのかも分かりません。
- 各記事は研究者を「Vigilance Security 研究担当副社長」として紹介しています。この所属・肩書きは**会社側の公開資料では確認できませんでした。**研究者本人の記事には「セキュリティ研究者であり創業者」とだけ出てきます。
- 研究者の Medium の記事は直接開くとアクセスが遮断されるため、著者の RSS フィード(新しい記事をまとめて配信してくれる購読アドレス)で本文を確認しました。
- Dark Reading の記事は本文を開けませんでした。被害の訴えの箇所は検索の概要だけで確認しました。
この記事は研究者本人の記事と報道をもとにまとめました。韓国企業が含まれているか、韓国語で尋ねた場合に再現するか、実際の被害規模、攻撃主体は確認されていません。
出典
- Ariel Simon (Medium, 研究者本人の記事・一次ソース), “Dark Sourcery: How Hackers Manipulate AI to Scam You”, 2026-09-22 — https://medium.com/@arielsimon/dark-sourcery-how-hackers-manipulate-ai-to-scam-you-88df434d2073
- The Hacker News, “ThreatsDay: AI Search Poisoning, AI Coding Tool Leaking Repos, One-Click Code Execution and 13 More Stories”, 2026-09-24 — https://thehackernews.com/2026/09/threatsday-ai-search-poisoning-ai.html
- GIGAZINE, “‘Dark Sourcery’ is a cyberattack that uses AI such as ChatGPT to generate fake contact information for companies, leading users into fraud.”, 2026-09-25 — https://gigazine.net/gsc_news/en/20260925-dark-sourcery-hackers-manipulate-ai-scam/
- Dark Reading, “Attackers Manipulate AI Chatbots in Mass Disinformation, Phishing Campaign” — https://www.darkreading.com/threat-intelligence/attackers-manipulate-ai-chatbots-mass-disinformation-phishing-campaign
2026-09-29 時点でまとめました。この記事は私たちのハニーポット観測ではなく、公開された研究と報道を伝えたものであるため、IP・認証情報・攻撃コマンドは載せていません。偽の番号と悪性ページのアドレスも、真似できないように記載していません。事実バッジは一次ソースで確認したか、報道された内容に付けました。報道されただけの内容は本文で「報じました」と別に示しています。推定バッジは私たちがつなぎ合わせた解釈です。