偽のApple Cash報酬サイト、750ドルを餌にアプリ登録やゲーム利用へ誘導

偽のApple Cash報酬サイト、750ドルを餌にアプリ登録やゲーム利用へ誘導

Malwarebytesが2026年11月4日に公開した調査によると、Appleを装った偽のWebページが、端末の確認を完了すれば750ドル分のApple Cashを受け取れると偽り、訪問者をアプリのインストールやゲームの利用へ誘導していた。ページには「Eligibility Check」「Verify Device」「Claim Reward」の3段階が表示されていたが、実際には端末の確認は行われず、報酬が支払われることもなかった。

最初の確認画面では、位置情報や端末の状態を調べているように見せかけていた。しかし、表示はあらかじめ設定された時間に従って切り替わるだけで、実際に位置情報や端末情報を取得して確認する処理はなかった。訪問者は誰でも4秒以内に最初の段階を通過する仕組みだった。その後、アプリ「Reco Social」のダウンロードとアカウント作成、さらにゲームのインストールとプレイを求められる。Malwarebytesの調査では、偽ページの運営者は特定されていない。

「Download & Open App」ボタンを押すと、新しいタブで外部リンクが開き、5秒後には元のページに「Verifying device…」というメッセージが表示される。しかし、このページにはアプリのインストールやアカウント登録、ゲームの利用状況を確認する機能はない。ボタンを押してから10分が経過すると、実際にアプリをインストールしたかどうかに関係なく、「Device Verified Successfully」と表示される。続いて現れる750ドルの報酬を受け取るためのボタンも、最初のダウンロードボタンと同じリンクを開くだけだった。

ページには、訪問者に手続きを急がせるための偽の表示も組み込まれていた。報酬の残り枠は常に47から始まり、30秒ごとに1つずつ減少するが、3に達すると停止する。他の利用者が750ドルを受け取ったと知らせるポップアップは、あらかじめ用意された15種類の名前と米国の15州の名称をランダムに組み合わせ、8～15秒間隔で表示される仕組みだった。また、10分間のセッション期限を示すカウントダウンがゼロになっても、手続きが終了することはなかった。

ダウンロードボタンのリンク先はApp Storeではなく、「taprkr.com」を経由するアフィリエイト追跡リンクだった。このリンクには「recosocial-cpr」という識別子が含まれていた。「CPR」は登録件数に応じて報酬が発生する「Cost Per Registration」を意味する場合があるが、この識別子だけで実際の報酬条件を特定することはできない。

調査時には、iPhoneからアクセスすると「playful-rewards-revshare」と表示されたオファーに誘導され、PCでは広告ネットワークに接続された。「revshare」は一般に、アプリ内課金などで発生した収益の一部を紹介者に分配する仕組みを指す。これらの識別子から、アプリへの登録や利用者の支出に応じて紹介者に報酬が支払われる可能性が考えられるものの、実際の精算方法は確認されていない。

また、偽ページにはTikTokのトラッキングピクセルも組み込まれていた。広告キャンペーンの効果測定などに使われる仕組みだが、これだけで訪問者がTikTok経由で誘導されたと判断することはできない。実際にどの広告や投稿、リンクから訪問者が流入したのかは明らかになっていない。

偽ページは、宣伝対象のアプリをAppleの公式パートナーであり、Apple Cashによって認証されたアプリであるかのように紹介し、Appleの著作権表示も掲載していた。しかし、これらの表示に根拠はなく、ページはAppleとは無関係だった。一方、Malwarebytesは、Reco Socialの開発元やリンク先のアプリが偽ページの制作・運営に関与したことを示す証拠は確認していない。正規のアプリであっても、第三者が不正な宣伝手法を使って利用者を誘導する可能性がある。

Apple CashはApple Walletを通じて送金や受け取り、支払いに利用できるサービスであり、Apple Gift CardはApple Accountの残高を追加するためのものだ。いずれも、外部サイトで第三者のアプリをインストールしたり、ゲームをプレイしたりすることで報酬が解除される仕組みではない。

こうした偽の報酬ページに誘導された利用者は、約束された750ドルを受け取れない一方、アプリへの登録時にメールアドレスや電話番号、ソーシャルログインの情報を提供する可能性がある。また、誘導先のゲームでアプリ内課金やサブスクリプションを利用すれば、金銭的な支出が発生する場合もある。ただし、今回の調査では、実際に個人情報が不正取得された件数や、金銭的被害の規模は明らかになっていない。

今回の事例では、偽ページ自体がパスワードやクレジットカード情報を直接盗み取る仕組みは確認されておらず、虚偽の報酬を使って外部サービスへの登録や利用を促す手口が中心となっている。そのため、調査では偽ページへのアクセス経路だけでなく、その後のアプリ登録や課金への誘導も確認することが重要となる。

なお、Apple Cashの正規の本人確認は、端末の「設定」から「ウォレットとApple Pay」を開き、Apple Cashの項目で行う。外部のWebページが750ドルの報酬を受け取る条件として求める「端末確認」とは異なる。