偽のAI広告サービス「Muse Ads」、BitB手法で広告アカウントの認証情報を狙う

偽のAI広告サービス「Muse Ads」、BitB手法で広告アカウントの認証情報を狙う

AIを活用した広告サービスを装い、広告業界の関係者を標的とするフィッシングキャンペーンが確認された。攻撃者はBrowser-in-the-Browser（BitB）と呼ばれる手法を利用し、正規のログイン画面に見せかけた偽のブラウザウィンドウを表示することで、アカウントの認証情報を窃取しようとする。広告運用の最適化や広告費の監査を名目に利用者を誘導し、広告アカウントの連携に必要な認証手続きを装って情報を入力させる仕組みとなっている。

今回確認されたキャンペーンでは、「Muse Ads」という名称の偽サービスが使用されており、MetaによるAIエージェント関連の発表後に展開されたという。攻撃者は広告アカウントを接続することで広告運用を改善できるかのように説明し、利用者を偽の連携ページへ誘導する。しかし、実際のページは正規の広告管理サービスとは異なり、個人向けAIエージェントを利用したサービスを装う構成となっている。攻撃インフラにはメール認証やフィッシング対策による検知を回避しようとする仕組みも含まれており、正規サービスに見せかけたページを通じて利用者から情報を収集する。

フィッシングサイト上の「接続する」ボタンをクリックすると、ページ内にブラウザの新しいウィンドウを模した偽のログイン画面が表示される。この画面には実際のブラウザのアドレスバーに似せた表示が組み込まれており、利用者が正規の認証ページにアクセスしていると誤認するよう設計されている。表示内容は対象となるプラットフォームに応じて調整され、入力された認証情報に加え、IPアドレスや位置情報、画面サイズなどのデータも収集する。また、攻撃者は複数回入力されたパスワードを記録できるほか、追加の認証情報を入力するよう促すことも可能とされる。

広告アカウントを狙う同種の攻撃では、不正な広告キャンペーンへの招待やアカウント連携を通じて、第三者が広告管理権限を取得するケースが報告されている。攻撃者が管理者アカウントや外部パートナーのアクセス権限を追加した場合、広告費の不正利用や未承認のキャンペーン運用につながる可能性がある。このため、アカウントの侵害が疑われる場合には、パスワードの変更だけでなく、追加された管理者やパートナーの権限、連携済みの広告資産、不審なキャンペーンや支出履歴などを確認することが、影響範囲の特定につながる。特に、攻撃者が追加した外部アクセス権限はパスワードの変更だけでは無効化されない場合があるため、アカウントに紐づく権限設定や連携状況を含めた調査が必要となる。