SecurityHeroblog
セキュリティの基本4閲覧

雑居ビルの中に構えた「Googleの窓口」— アドレスバーまで描き込んだログイン画面

「Googleでログイン」を押したら、アドレスまで本物のGoogleの画面が出てきました。しかしその画面は、フィッシングページが画面の中に描き込んだ偽物でした。裏では人間がパスワードと認証コードをリアルタイムで受け取っていました。セキュリティ企業Islandのレポートをもとに、本物の画面と偽物の画面を分ける一点を整理しました。

近所の雑居ビルを一つ思い浮かべてみてください。1階は軽食店、2階は塾、3階は歯科医院です。建物の入口には「○○ビル」という看板が大きく掲げられています。

ところが2階の廊下の突き当たりに、銀行の窓口が一つ構えられています。青い看板が掛かっていて、番号札の機械もあります。制服を着た職員も座っています。看板には誰でも知っている銀行の名前が書かれています。職員が笑顔で紙を差し出します。「ここに通帳の暗証番号を書いてください。」

看板は誰でも掛けられます。しかし建物の住所は変えられません。 窓口の看板に何と書かれていようと、自分が立っている場所は依然として「○○ビル2階」です。

今日の話は、この「雑居ビルの中の偽窓口」がインターネット上でどんな姿で現れるかについてのものです。記事の最後までこのビルの中で話を進めます。

何が起きているのか — アドレスまで本物のログイン画面

事実 セキュリティ企業Islandが10月6日にレポートを出しました。内容はあるフィッシングプラットフォームについてのものです。フィッシングとは、本物のように見せかけた偽の画面でパスワードを受け取る詐欺のことです。このプラットフォームは、ChatGPT・Gemini・Claude・Perplexity・Meta Muse・ManusといったAIサービスの**「広告管理ツール」になりすまし**ました。

事実 場面はこうです。「AI広告最適化ベータ」のようなページに入ります。「連携」ボタンを押します。するとGoogleのログイン画面が出てきます。画面上部のアドレス欄には accounts.google.com と表示されています。本物のGoogleログインのアドレスです。パスワードを入れ、携帯のSMSで届いた認証コードも入れます。すると「少しお待ちください」という画面が出ます。自分が待っている間に、運営者は今受け取った値で自分の本物のアカウントにログインしています。

事実 そのログイン画面は、ブラウザが開いたものではありません。ブラウザとは、ChromeやSafariのようにインターネットを見るときに使うプログラムです。問題の画面は、フィッシングページが自分の画面の中に描き込んだ絵です。この手口を「ブラウザ・イン・ブラウザ（BitB）」と呼びます。ブラウザの中にブラウザの形をした絵をもう一つ描くという意味です。その間、本物のブラウザはずっとフィッシングサイトに留まっています。

推定 ビルに置き換えるとこうです。ポップアップの中に見えるアドレスは窓口に掛けた看板です。Googleと書かれています。ブラウザの一番上のアドレスバーは建物の住所です。そこには依然としてフィッシングサイトのアドレスが表示されています。

事実 この窓口は客に合わせて内装まで変えます。Windows・Mac・iPhone・Androidごとに見た目を別々に真似ました。iPhone Safariのアドレス表示の形を真似ました。アプリ内でChromeが開くログイン画面の形も真似ました。ダークモード（画面を暗くして使う設定）まで合わせました。

事実 看板もGoogle一つではありません。Meta・TikTokのログイン画面も偽造しました。Oktaのログイン画面もありました。Oktaは、企業が従業員の業務アカウントのログインに使うサービスです。

広告担当者だけを狙ったのではない

事実 同じプラットフォームで偽の採用ページも動いていました。テスラ・アディダス・ルイ・ヴィトン・ナイキといったブランドになりすましました。応募するには会社のアカウントでログインしろと言います。応募者の勤務先アカウントを狙った餌です。

事実 そのため、この手口に引っかかりうる人はこう整理されます。Google・Meta・TikTokの広告アカウントを管理するマーケター、広告代理店の社員、自分で広告を出している自営業者。そして有名ブランドの求人を見て会社のアカウントでログインしようとする会社員です。

推定 記事の見出しだけを見るとマーケターの話のように読めます。しかし「Googleでログイン」ボタンは、ほぼ誰もが一日に何度も押します。ただし二つは分けて見る必要があります。今狙われている人（広告担当者と応募者）と、この手口が通用しうる範囲は別の話です。韓国のユーザーが狙われたという根拠はレポートにありません。

なぜ通用するのか — 窓口の裏に人が座っている

偽の画面と言うと、自動で動くプログラムを思い浮かべがちです。今回の件は違います。

事実 人間の運営者が入力値をリアルタイムで見ています。 正しいパスワードを入れても、わざと「間違っている」と言ってもう一度入れさせることもあります。その次に何を要求するかも、その都度選びます。SMSの認証コードかもしれませんし、認証アプリに表示されるコードかもしれませんし、携帯に表示される「ログイン承認」の通知かもしれません。

ここで二段階認証が出てきます。二段階認証とは、パスワードの次に携帯などでもう一度確認する手続きです。パスワードが漏れてもアカウントを守るためにある仕組みです。

推定 ところが窓口の職員が人間だと、この仕組みは力を失います。ビルに描いてみるとこうです。職員がパスワードを書き取ります。そのメモは裏口から出て、本物の銀行にいる仲間の手に渡ります。仲間が「認証コードを要求されている」と電話します。職員は客に「携帯に番号が届きましたよね? 読み上げてください」と言います。認証コードは一度使って捨てる番号なので、盗んでも後では使えません。ところが受け取った直後にその場で使えば話が変わります。

事実 パスワードを正しく入れたのに「間違っている」という答えが3回返ってくることがあると報じられました。この数字はIslandのレポートではなく、BleepingComputerの記事に出たものです。

推定 ここから使える手がかりが一つ出てきます。自分が知っているパスワードを正確に入れたのに拒否されるなら、手が滑ったのではないかもしれません。窓口の職員がもう一度書き取りたがっているのかもしれません。正しく入れたパスワードが拒否されること自体を、やめる理由にすればよいのです。

事実 窓口は新しい看板も素早く掛けます。MetaがMuseをリリースして8日後に、偽の「Muse Ads」ページがこのプラットフォームに追加されました。2週間もかかっていません。新しいサービスが出たらすぐに餌として使うという意味です。

数字で見た規模

まず表を見ます。最後の列を一緒に見てください。 一次レポートで確認した数字と、記事にだけ出た数字が混ざっています。

数字 何を 出典
8日 Meta Museのリリースから偽Muse Adsページが追加されるまで Islandレポート（確認）
3回 正しいパスワードを入れても「間違っている」と返ってくることがある回数 BleepingComputer（報道のみ）
25個 追跡されたドメイン数（5月27日～6月20日） Islandレポート（確認）
73個 同じ期間に追跡されたサーバー数 Islandレポート（確認）

ドメインとは、インターネットのアドレスで名前に当たる部分です。ビルで言えば建物の住所です。サーバーとは、そのサイトを実際に動かしているコンピュータです。窓口の裏の事務所くらいに当たります。

推定 追跡期間は5月27日から6月20日まで、25日ほどです。その間にアドレスが25個捕まったので、平均で言えば一日にアドレス一つの割合です。サーバー73個は一日に3つ近い割合です。窓口を一つ撤去しても、翌日には隣のビルに新しい窓口が開く計算です。だから「このアドレスが危ないらしい」と覚えて避ける方式はあまり合いません。アドレスを覚えるよりも見分ける習慣のほうが長持ちします。

事実 奪われた広告アカウントがどこに使われるかも報じられました。アカウントに残った広告費で詐欺広告を出したり、他の犯罪者に転売するそうです。この部分もBleepingComputerの記事にだけ出ています。

そこで今やること

やることは二つです。どちらも今日できます。

一つ。窓口の看板ではなく建物の住所を見る。

事実 ウェブページは、アドレスバーも、鍵のアイコンも、タブの形も描き込めます。しかし本物のブラウザの一番上のアドレスは変えられません。 Islandのレポートが指摘した見分けの原則がこれです。

ですからポップアップの中に見えるアドレスは信じないでください。目をブラウザの一番上のアドレスバーに上げます。そこに今入ってきた見慣れないページのアドレスがそのまま表示されていたら、そのログイン画面は絵です。窓口の看板ではなく建物の入口の看板を確認するのと同じです。

初めて見るサイトで「Googleでログイン」の画面が出たら、パスワードを入れずにそのまま閉じてください。そして新しいタブを開いて、そのサービスのアドレスを直接打ち込んで入ります。本物の銀行の用事は、本物の銀行の建物に行って済ませればよいのです。

推定 PCで使える確認法も一つ報じられました。偽の画面は本物のポップアップと違って、ブラウザの外に引き出せず、サイズも変えられないそうです。ビルの床に釘で打ち付けた窓口なので持ち出せないという話です。ただしこれはBleepingComputerの記事にだけ出ており、Islandの原文では確認されませんでした。そして携帯では画面を引っ張ってみることができません。携帯では一番上のアドレスを見る方法だけが残ります。

二つ。Google・Metaのアカウントにパスキーを登録する。

事実 パスキーとは、パスワードの代わりに自分の端末に保存された鍵でログインする方式です。この鍵は本物のサイトのアドレスでしか動作しません。 研究陣は、パスキーと実物の端末で行う認証（ハードウェアベース認証）を、この手口を防ぐ最も強い防御として推奨しました。

推定 ビルに置き換えるとこうです。パスキーは本物の銀行の建物の扉にしか合わない鍵です。偽の窓口がどれほどそれらしく見えても、この鍵はそこでは回りません。だから、うっかり偽の画面にパスワードを入れてしまっても、アカウントを丸ごと奪われることはずっと難しくなります。

私たちが分からないこと

このブログは、分からないことは分からないと書きます。今回の件でまだ確認されていないことです。

  • 人々が最初にどの経路で入ってくるのか分かりません。 招待メールが使われたということ以外は明らかになっていません。検索広告やSMSで広まったと断定しません。
  • 韓国が狙われたのか分かりません。 韓国語のページがあったのか、韓国のユーザーが狙われたのかはレポートに出ていません。
  • 実際に何人が被害を受けたのか分かりません。 入力値が「数百件提出」されたという内容があります。しかしそれがアカウント奪取に成功した件数なのかは分かりません。記事も成功件数ではないと書いています。だからこの記事はその数字を被害者数として使いませんでした。
  • 誰が運営しているのか分かりません。 攻撃主体の国籍や所属は明らかになっていません。私たちも推定しません。
  • 「引き出せない」という確認法は半分だけのものです。 PCでしか使えません。そして一次レポートにはこの方法が直接書かれていません。携帯では、ブラウザの本物のアドレス表示を見る方法だけが残ります。

この記事で「報じられた」と書いた箇所が三つあります。パスワードを3回拒否すること、画面を引き出せないということ、奪われた広告アカウントの使われ方です。三つともIslandの原文ではなく記事から来ています。

出典

一次出典から書きます。

Islandの原文を直接開いて、なりすましサービスの一覧、偽画面の構造、運営者によるリアルタイム中継、採用の餌、ドメイン・サーバー数、パスキーの推奨を確認しました。その後に記事と照合しました。

この記事は2026-10-08時点のブリーフで書きました。私たちのハニーポット観測ではなく、公開されたレポートと報道が材料です。そのため攻撃タイムライン・MITRE・IOCブロックと、マスクされたIP・認証情報の引用がありません。私たちにそうした資料がないからです。本文に出てくる accounts.google.com はGoogleの本物のログインアドレスです。偽の画面が何を真似たのかを説明するために書いたもので、フィッシングサイトのアドレスは載せていません。数値はブリーフにあるものだけを使いました。「一日に一つの割合」のような比較は、その数値から私たちが直接割って出した値なので推定として表示しました。確認されていないこと: 流入経路、韓国ユーザーが標的だったかどうか、実際の奪取成功件数、攻撃主体、そして「偽の画面は引き出せない」という確認法の一次出典。真似できる命令文・アドレス・手順は載せません。発行日 2026-10-08。