Tenable ブログ
ブログ通知を受信する
豚殺し詐欺: ビットコイン、イーサリアム、ライトコイン、金スポット (XAUUSD) 投資が恋愛詐欺に悪用されて数億ドルの被害に
本稿は、2022 年末から 2024 年初旬まで実施した豚殺し詐欺の直接調査の内容を 2 部構成で解説するブログの第 2 部です。今回は、豚殺し詐欺による被害が数億ドルに上っている暗号資産や金スポット詐欺を含む投資詐欺について詳述します。
本稿でご紹介しているイーサリアムのブロックチェーン取引のデータは、著者が実際に遭遇した豚殺し詐欺にかかわるものです。本調査の助手を務めた Tenable のリサーチスタッフ、Jessie Jamieson と Ziga Cerkovnik が収集と分析を担当しました。
背景
2024 年の 2 月に、米国の 連邦貿易委員会 (FTC) が、2023 年に米国の消費者が報告した詐欺による損害額が、2022 年の 88 億ドルを上回り、100 億ドルになったというデータを発表しました。 投資詐欺に関係した損害はここ 3 年間明らかな上昇傾向を示しており、2021 年には 17 億ドル、2022 年は 38 億ドル、2023 年は 46 億ドルでした。発表を受けて、FBI のインターネット犯罪苦情センター (IC3) は、投資詐欺が 2022 年の苦情の最大の理由であること、損害額が 33.1 億ドルにも上り、2021 年の 25.7 億ドルから 183％ 上昇したことを明らかにしました。
豚殺しは恋愛と投資詐欺を重ね合わせた詐欺の手口で、非常に多額の収益が見込めるため、世界各地で近年膨大な金額が盗取されています。しかし、豚殺し詐欺による真のコストは、多くの要因があるため正確に数値化することができません。2 種の手口があいまいに組み合わさっていること、詐欺師が制御するプラットフォームやモバイルアプリでのやりとりが隠蔽されていて分析できないこと、恥や世間体を気にする被害者が犯罪を報告しない、などがあります。
本稿は、2022 年末から 2024 年初旬まで、著者が豚殺し詐欺について直接調査した内容を解説する、2 部構成のブログの第 2 部です。第 1 部は豚殺しの基本的な説明と、さまざまなオンラインプラットフォームでどのようにユーザーが狙われているかを解説しました。第2部では、金銭を騙し取るために使われている偽の暗号資産投資などの金融詐欺の種類を詳述します。
この豚殺し詐欺の調査では、著者は数件の暗号資産アドレスを追跡しました。このアドレスは、暗号資産トークンを入れたデジタルウォレットと紐づいた一意的な識別子のことで、偽の暗号資産プラットフォームを運用している詐欺師によって共有されたものです。分析の結果、これらの詐欺は 1300 万ドルに及ぶ損害に関連していたと確信を持って言えます。とは言え、これは控え目に計算したもので、著者がこれらの詐欺を監視していた期間に生じた実際の損害額はさらに大きなものであると思います。 そう結論づけるのは、暗号資産アドレスが蜘蛛の巣のように張り巡らされていて、アドレス間で暗号資産やステーブルコインがその額を超える量でやりとりされていたからです。しかし、それらのアドレスを独立検証することはできませんでした。
目次
- 豚殺し屋はどのような方法でユーザーからお金をだまし取っていますか。
- 著者は、Coinbase、Binance、Crypto.com、Kraken、Gemini、 Uniswap や、Cash App、PayPal、Venmo などを含むピアツーピアの支払プラットフォームを利用して暗号資産を購入するよう言われました。なぜ、彼らのウェブサイトから購入してほしくないのでしょうか。
- 豚殺し屋は、私に暗号資産や金スポットなどの金融投資について知識があることを想定していますか。
- なぜ豚殺し屋はアプリからスクリーンショットを送るよう要請するのですか。
- どうしたら豚殺し詐欺だとわかりますか。止めさせる方法が何かありますか。
- まとめ
豚殺し屋はどのような方法でユーザーからお金をだまし取っていますか。
以下が著者が調査中に遭遇した詐欺の種類です。2024 年 2 月の時点で正確ですが、 すべての手口を網羅したものではありません。
- 豚殺し屋が操る偽の投資サイト
- ビットコインとイーサリアムアドレスが付加された偽の暗号資産投資サイト
- MetaTrader アプリを使った金スポット取引
豚殺し屋が操る偽の投資サイト
詐欺師は、実在の投資サイトの HTML コードとそっくりの偽コードを使っていかにも本物らしいサイトを偽造します。著者が遭遇した例では、韓国の暗号資産取引サイト Upbit に見せかけたサイトを使っていました。
これらのサイトの暗号資産の価格は、本物のサイトに掲載されている価格と多少違っていてるので、本物のサイトをまるまるコピーしたものではありません。彼らは、偽りの利益を被害者に見せるためにその違いを利用しているのではないかと思います。
このようなウェブサイトと直接やりとりしてみると、詐欺師らはサイトを運用して、取引の処理方法、被害者に見せる数字その他の表示情報をコントロールしていることが明らかになります。
詐欺師は、ユーザー (被害者) に、自分に代わってサイトにログインしてほしいと頼みます。ユーザーがログインすると、多額の金額のある偽アカウントが表示されます。この例では、このプラットフォームに取引が可能な金額として 55,000ドルが用意されているように見えました。詐欺師は「伯父さん」の手を借りることができなかったので、著者に代わりに取引を実行してもらえないかと頼みました。
このように取引を助けてくれないかという進め方は、詐欺師と被害者の間の信頼を築くための手口です。また、これらの (攻撃側が制御している) ウェブサイトに被害者自身が投資した場合に約束されている偽の利益を見せて味わせる機会でもあります。
偽の取引とその結果となる偽の利益を表示してユーザーを誘惑します。たとえば、著者はライトコイン ($LTC) の取引を偽の Upbit 暗号資産取引サイトで取引するようにと言われました。
そして、その偽の取引を上手にこなしたので、著者は、詐欺師に褒められました。そうこうした後、偽の Upbit 取引サイトで著者自身の資金を投資してもよい、と言われて、アカウントの登録をするように指示されました。われました。
しかし、アカウント登録プロセスの一環として、機密情報が必要だと言われました。運転免許証、旅券、または不特定の ID カードなどの身元証明です。そのような種類の証明は提供したくなかったので、この時点で詐欺師とのコミュニケーションを停止しました。もしも登録の指示に従っていたら、多分、登録したアカウントにオンラインで送金するよう言われ、この偽の暗号資産取引・投資サイトに自分の資金が残高となっていたのでしょう。
ビットコインとイーサリアムアドレスが付加された偽の暗号資産投資サイト
豚殺し屋が実行している 2 つ目の種類の詐欺は、偽の投資サイトを利用したものですが、ねじりがあって、被害者は暗号資産を、暗号資産アドレスに直接送るよう指示されます。被害者自身の取引アカウントに資金を入れるのが名目です。実際は、暗号資産を詐欺師のアカウントへ直接送金させるための策略に過ぎず、資産をその他の暗号資産のウォレットのネットワークを介して洗浄するマネーロンダリングに繋ぐのです。著者はこの手口に数回遭遇しました。
例 #1: イーサリアムを Coinbase で購入して、詐欺師が制御するイーサリアムウォレットに転送
ある例では、Coinbase Wallet をダウンロードして、Coinbase そのものからイーサリアムを購入するようにと指示されました。しかし、その後の取り引きは、Kraken (人気の高い暗号資産取しサイト (CEX))と見せかけた、.xyz のトップレベルのドメインにホストされている、別のサイトで行われる、と言われました。
そのサイトにアクセスすると、次に「カスタマーサポート」ページに行って「ETH リンクアドレスをください」と頼むよう詐欺師が指示します。
カスタマーサポートページにアクセスすると、詐欺師が所有しているイーサリアムのウォレットのアドレスが与えられます。そして、ユーザーの暗号資産アドレスブックにそのアドレスが「追加された」状態のスクリーンショットが必要だと「サポート」と名乗る者が言います。正しいアドレスに送金されたことを確認するため、というのが口実です。
この例では、著者は 2 万ドルの価値のあるイーサリアム (ETH) を購入して、「さっきコピーしたアドレスに転送して、取引ができるように自分のウォレットに送信するように」と言われました。できるだけ多くの投資資金を盗もうという企みから、ドル建てで高い価値のあるイーサリアムを対象としたと思われます。
ここで送金先であった特定のアドレスには、他の暗号資産ウォレットから 5 万ドル近くの資金が送金されていました。それは間違いなく他の被害者の資金であると思います。資金は、そこから他の暗号資産アドレスへ転送され、最終的に Tokenlon というプラットフォームを介して洗浄されました。Tokenlon は豚殺し詐欺に関連して騙し取られた資金の多くが行きつく場所のようです。 しかし、これらの他のアドレスに関連した資金のすべてが豚殺しの被害者から来たものであると断定することはできないので、損害額に関しては控え目に見積もりました。
例 #2: Cash App でビットコインを購入、Coinbase Wallet に転送した後に豚殺し屋がコントロールするビットコインウォレットに転送
もうひとつの例では、以前詐欺師の標的となっていたピアツーピアの決済アプリ、Cash App をダウンロードするように指示されました。 しかし、このシナリオでは、Cash App からビットコインを購入して、次に Coinbase Wallet をダウンロードしてそこに転送するようにと言われました。
なぜコインベースから直接ビットコインを購入しないでCash App を介するのかと尋ねたところ、コインベースで購入するとビットコインが自分のアカウントに転送されるのに時間がかかりすぎるのでCash Appの「ほうが都合がいい」、Cash App であれば、ビットコインは「ただちに」利用可能になると言われました。
イーサリアムの例と同じように、IronFX Online (オンライン取引プラットフォーム)に見せかけたウェブサイトにアクセスするよう指示されました。偽の IronFX Online ウェブサイトと偽の Kraken ウェブサイトのレイアウトは全く同じです。前の例と同じように、「オンラインサービス」に音声で問い合わせて、「BTC」(ビットコインのティッカーシンボル）の取引がしたいと申し出るよう言われました。 豚殺し屋によれば、「オンラインサービス」がビットコインの転送先になる暗号資産アドレスを提供してくれるということでした。
初めはたったの１千ドルを投資するよう要求されましたが、金額を減らしてほしいと言ったところ、受け入れてくれました。与えられたアドレスに資金を送る状態には至りませんでしたが、少々の金額が転送されたことは確認できました。そのアドレスは、受け取った資金を直接別のビットコインアドレスに転送しましたが、転送先にはすでに 280 個のビットコインが受け取られており、2024 年 2 月の時価で合計 1210万ドル以上がありました。
さきに与えられたイーサリアムのアドレスと同じように、網目のように繋がった暗号資産アドレスをつたって資産が転送されていくのが見え、最終的に暗号資産取引サイトである Binance に到達していました。
著者が直接遭遇した詐欺の損害額は、総合すると、少なくとも 1300 万ドルに上るというのが控え目な見方です。前にも述べたように、これは豚殺し詐欺に関連した損害の真のコストを過小評価したものと捉えます。
MetaTrader アプリを使った金スポット取引
豚殺し詐欺師が実行するもうひとつの種類の詐欺に、外貨取引市場での金スポット取引の勧誘があります。金スポットは、その時に取引できる金の時価に換算されます。USドルで価格が掲載されることが多く、ティッカーシンボル XAUUSDで表示されます。
詐欺師は、どれだけの大儲けをしたかと吹聴して被害者を誘惑します。上の例では、この詐欺師は、金スポットで儲けが出た取引と見せかけた一連のスクリーンショットを送っています。
豚殺し詐欺によって金スポットに投資するよう説得された被害者は、取引プラットフォームと見せかけたウェブサイトにアクセスするように指示されます。著者の場合、そのウェブサイトは Spreadex という、スポーツ賭博を主にした、スポット金取引も可能な本当のプラットフォームに見せかけたサイトでした。
そのサイトは、ユーザーにモバイルデバイスまたはパーソナルコンピューターにアプリケーションをダウンロードするよう要請します。下のページは、公式のアプリをダウンロードしているように見せかけて被害者を騙すために Apple App Store に似せて作られています。アプリをインストールする前に、iOS ユーザーはまずモバイルデバイスにプロフィール/設定をインストールして MetaTrader 5 アプリをダウンロードするよう指示されます。
2022 年の 9 月に、Apple は MetaTrader アプリを App Storeから削除しています。これはグローバル詐欺対策協会 (GASO)によって暗号資産詐欺との関連が指摘されたためです。
なぜ MetaTrader 5 が Apple App Store で禁止されたかという問いに対して、詐欺師は、「米国のロシアに対する制裁」のためと常套句で回答し、さらに米国は「故意にロシアに汚名なすりつけている」と付け加えました。
言うまでもないのですが、著者はこのアプリはインストールしませんでした。もしもインストールしていたら、他の無数の被害者と同じように多額の損害を被っていただろうと想像します。
著者は、Coinbase、Binance、Crypto.com、Kraken、Gemini、 Uniswap や、Cash App、PayPal、Venmo などを含むピアツーピアの決済プラットフォームを利用して暗号資産を購入するよう言われました。なぜ、彼らのウェブサイトから購入してほしくないのでしょうか。
詐欺師たちが運用している偽の暗号資産投資サイトは、実際の暗号通貨の売買に使えないのです。ですから、被害者に本当の暗号資産を人気のある取引サイトやプラットフォームで購入させてから、それを詐欺師が所有している暗号資産アドレスに直接移動させるように仕向けます。そして、なりすましのウェブサイトを操作して偽のグラフや表を表示して、あたかも利益が出ているように見せかけます。実際には、移動された資産は盗まれていて、取り戻すことはできません。
豚殺し屋は、私に暗号資産や金スポットなどの金融投資について知識があることを想定していますか。
いいえ、詐欺師は、被害者はそのような知識が何もないかほとんどない方を好みます。被害者がその道の初心者であるかのように、暗号資産や金スポットの買い方、取引のし方について一歩一歩教えます。内容を熟知している様子を見せたり、ステップを飛ばしてみたりすると、「頭がいいね」とおだてます。
なぜ豚殺し屋はアプリからスクリーンショットを送るよう要請するのですか。
詐欺師は、被害者が指示どおりに行動していて、偽投資の場合にもそのとおりに動くことを確かめるためにスクリーンショットを要求します。
豚殺し詐欺に共通した点に、送信されたスクリーンショットの上に円を描いて、その部分を本当に一歩一歩説明していくやり方があります。
どうしたら豚殺し詐欺だとわかりますか。止めさせる方法が何かありますか。
2024 年 2 月の時点で把握している、豚殺し詐欺を特定する方法をいくつか挙げます。
- 無作為に、勝手に送られてくる WhatsApp や Telegram のメッセージや SMS。これらはユーザーに返信させるのが目的です。 WhatsApp、Telegram、 SMS、iMessage などから、不正確な宛名でメッセージが勝手に、無作為に送られてきたら、あるいはフィッシングではないかと思われるような内容の場合、返信すると最終的には豚殺し詐欺にひっかかかる恐れがあります。可能であれば、そのようなメッセージについて通報して送信者をブロックしてください。
- デートアプリのユーザーが、プラットフォームから WhatsApp、Telegram、SMS、iMessage などのメッセージングプラットフォームにさっさと移動して会話を続けようと提案する。 相手を急いて行動をそそのかす、緊急性の利用は、さまざまな詐欺で成功が実証されている手口です。豚殺しのケースでは、デートアプリからほかのメッセージングプラットフォームに移動することを強引に押し付けます。強引な態度は、そのデートアプリのユーザーは実は詐欺のハーダーのような役割であることを強く表す特徴で、デートアプリプラットフォームの外にいるブッチャーにあなたを誘導しようとしているのです。
- 暗号資産その他の金融商品の投資について話したり吹聴したりする。 暗号資産その他の金融商品の投資で儲けたことを強調したり自慢したりされたら赤信号です。とくに親、伯父、伯母などの親戚の支援で投資に成功したという話は危険です。
合法的な取引サイトから暗号資産を購入してほしいと提案し、投資で儲ける方法を教えてあげると言う。 以下のようなサイトから暗号資産を購入するよう頼まれて、その後でほかの場所に転送すると言われたら、直ちにやりとりを停止してください。
- Coinbase、Binance、Crypto.com、Kraken、Gemini などのよく使われる取引サイト
- Uniswap のような分散型金融 (DeFi) プラットフォーム
- CashApp、PayPal、Venmo などのピアツーピアの決済アプリ
暗号資産の取引は、以上の取引サイトから移動しなくても実行できます。ですから、よそに転送してほしいと言われたら、それは詐欺です。
- 金スポットのような特定の種類の金融商品の取引のために、アプリストア以外からアプリケーションをスマホにダウンロードする必要があると説得される。 特別な設定をインストールしたり証明書を付加したりする必要のあるアプリケーションをデバイスにインストールするような指示は赤信号です。アプリストア以外にあるアプリをデバイスにインストールする必要は全くありません。関連の証明書や設定をインストールさせて、詐欺師がデバイスを乗っ取る可能性があります。そのようなアプリは、金スポットのような金融商品の取引で利益にみせかけた数値を表示するようにできています。
まとめ
本投稿では、豚殺し詐欺を横行する犯罪者が、被害者に偽の投資をさせるために使うさまざまな説得方法について詳述しました。偽の暗号通貨投資サイトを使ったもの、リスクの高いアプリをデバイスにインストールさせて金スポット取引をするものなどが含まれています。
知識は力。それ故、デートアプリ、ソーシャルメディアのプラットフォーム、メッセージングサービスは、その種のさまざまなプラットフォームに関連した潜在的な豚殺し詐欺のリスクについて、ユーザーに対する警告を強化するべきです。Coffee Meets Bagel は人気のあるデートアプリですが、豚殺し詐欺についてユーザーにポップアップ警告を表示し、ブログに投稿して詳細情報を提供しています。その結果、この種の詐欺の犠牲にならなくて済んだユーザーがいたでしょう。このような努力は重要です。
もしも読者が豚殺し詐欺の被害者となった場合には、地元の警察または政府の機関に通報してください。たとえば、米国であればインターネット犯罪苦情センター (IC3)、英国であれば国家サイバーセキュリティセンター (NCSC)、オーストラリアであれば 参謀本部国防信号局のオーストラリアサイバーセキュリティセンター(ASD ASC)に報告してください。
本稿は豚殺し詐欺の調査結果を解説するブログの第 2 部です。豚殺し詐欺とはどういうもので、どのように始まるのかについて基本的な情報については、ブログの第1部をご覧ください。 豚の殺し詐欺: Tinder、TikTok、WhatsApp や Telegram を介した長期詐欺が数千万ドルを盗取
もっと詳しく
関連記事
Cybersecurity Snapshot: Latest MITRE ATT&CK Update Offers Security Insights on GenAI, Identity, Cloud and CI/CD
April 26, 2024Check out what’s new in Version 15 of the MITRE ATT&CK knowledge base of adversary tactics, techniques and procedures. Plus, learn the latest details about the Change Healthcare breach, including the massive scope of the data exfiltration. In addition, why AI cyberthreats aren’t impacting CISOs’ budgets. And much more!
CVE-2024-20353, CVE-2024-20359: Frequently Asked Questions About ArcaneDoor
April 25, 2024Frequently asked questions about CVE-2024-20353 and CVE-2024-20359, two vulnerabilities associated with “ArcaneDoor,” the espionage-related campaign targeting Cisco Adaptive Security Appliances.
CVE-2024-4040: CrushFTP Virtual File System (VFS) Sandbox Escape Vulnerability Exploited
April 23, 2024A zero-day vulnerability in CrushFTP was exploited in the wild against multiple U.S. entities prior to fixed versions becoming available as the vendor recommends customers upgrade as soon as possible.
Cybersecurity Snapshot: Latest MITRE ATT&CK Update Offers Security Insights on GenAI, Identity, Cloud and CI/CD
April 26, 2024Check out what’s new in Version 15 of the MITRE ATT&CK knowledge base of adversary tactics, techniques and procedures. Plus, learn the latest details about the Change Healthcare breach, including the massive scope of the data exfiltration. In addition, why AI cyberthreats aren’t impacting CISOs’ budgets. And much more!
CVE-2024-20353, CVE-2024-20359: Frequently Asked Questions About ArcaneDoor
April 25, 2024Frequently asked questions about CVE-2024-20353 and CVE-2024-20359, two vulnerabilities associated with “ArcaneDoor,” the espionage-related campaign targeting Cisco Adaptive Security Appliances.
CVE-2024-4040: CrushFTP Virtual File System (VFS) Sandbox Escape Vulnerability Exploited
April 23, 2024A zero-day vulnerability in CrushFTP was exploited in the wild against multiple U.S. entities prior to fixed versions becoming available as the vendor recommends customers upgrade as soon as possible.
- Research
- Exposure Management
- Reports
- Research Reports