Tenable ブログ
ブログ通知を受信する
豚殺し詐欺: Tinder、TikTok、WhatsApp、Telegram などを悪用した長期詐欺が数億ドルを盗取
本稿は、豚殺し詐欺を解説した 2 部構成のブログの第 1 部です。世界で何万人もの人に被害を与え、数億ドルの損失が生じた犯罪について解説し、豚殺し詐欺とはだれがどのように実行しているかに焦点を当て、豚殺しプレイブックの詳細を紹介します。
背景
「豚殺し」または「 pig butchering」は中国語の「殺豚盤 (Sha Zhu Pan)」の訳語で、財産を盗取する詐欺の一種で、この手口を使って膨大な金額が騙し取られています。FBI が発行した 2021 年のインターネット犯罪報告書によれば、米国内で報告された豚殺し詐欺の被害額の合計は 4 億 2900 万ドルでした。しかし、豚殺し詐欺は世界どこでも事例が報告されており、被害者数も膨大な数に上っています。豚殺し詐欺は、オンラインデートアプリでとくに活発で、そのほかさまざまなソーシャルメディアやメッセージングプラットフォームで実行されています。この種の詐欺は恋愛詐欺と投資詐欺を重ね合わせているので、豚殺し詐欺の実際の損害額は、報告されている金額よりもはるかに高いことが予想されます。著者の見る限りでは、この詐欺は、ある意味で、いつでもどこにでも存在していて、その犯罪行為の真相は十分に把握できていないと思われます。
本稿は、2022 年末から 2024 年初旬まで著者が豚殺し詐欺について直接調査を行った結果を 2 回のブログ投稿で紹介する企画の第 1 部です。第 1 部では、豚殺し詐欺の基本的な情報を提供して、ソーシャルメデアやデートアプリなどのさまざまなプラットフォームからユーザーがどのようにして狙われるのかを説明します。第 2 部では、偽の暗号資産投資を含む、各種の金銭詐欺について詳しく解説します。
目次
- 豚殺し屋とはどういう人ですか。
- 「豚」とはだれのことですか。
- 「豚殺し」とはどういう意味ですか。
- 豚殺しは特定の人たちを標的にしていますか。
- 豚殺しの詐欺師は被害者となる人たちとどのようにして接触するおですか。
- なぜ豚殺し屋はプラットフォームから WhatsApp、Telegram、 SMS などに移動したがるのですか。
- ソーシャルメディアとデートアプリで偽プロフィールを操っている人と、メッセージングアプリで偽プロフィールを動かしている人は同じ人たちでしょうか。?
- このようなソーシャルメディアやデートアプリのプロフィールにある画像はすべて偽ですか。
- でも、その人は Facebook と Instagram にアカウントを持っていたようでしたが、それらも偽なのですか。
- これらの偽プロフィールには人工知能 (AI) で作成された画像が使われていましたか。
- このような豚殺し詐欺師はどこを拠点に活動しているのでしょうか。
- 豚殺しのプレイブックには何が書いてありますか。
豚殺し屋とはどういう人ですか。
豚殺し屋は、以下のような非常に多数のソーシャルメディア、メッセージングアプリ、オンラインデートアプリで偽アカウントのネットワークを操作している詐欺師です。
- Telegram
- TikTok
- X (旧 Twitter)
- Tinder
- Bumble
- Hinge
このリストは全部ではありません。豚殺し屋と確認された人と著者がやりとりをしたことのあるアプリケーションの一部を紹介したものです。
「豚」とはだれのことですか。
豚殺し詐欺の「豚」は、詐欺師の標的になった被害者を指します。
「豚殺し」とはどういう意味ですか。
「豚殺し」という表現が強調する、詐欺師が被害者を「太らせる」要素が重要です。その方法は、長期的に続けられる恋愛じみた会話であったり、投資すれば多額の利益を得る機会があると説得することであったりします。どちらにしても、目標は、通常の通貨や暗号資産を詐欺師に渡すことを説得して、「豚」を金銭的に「屠殺」することです。
豚殺しは特定の人たちを標的にしていますか。
いいえ。著者が調査したことのある従来の大人のデート詐欺とは異なり、豚殺し詐欺は性別や人種にこだわっていません。
豚殺しの詐欺師は被害者となる人たちとどのようにして接触するのですか。
利用されているアプリによって方法が異なります。たとえば、WhatsApp や Telegram などのメッセージングアプリでは、あるユーザーの連絡先を利用してネットワークやコミュニティを構築します。そして、相手がひっかかって返信してくることを期待して、標的にメッセージを送ります。
さまざまなプラットフォームで、以下のようにして豚殺し詐欺が展開されています。
WhatsApp と Telegram
WhatsApp と Telegram や SMS を利用するユーザーは、誤った名前を使ったコールドコール (または一方的に送られてくるメッセージ) を送信されたり、またはあからさまに別名で名指しでメッセージが送られ、番号を変更したかどうか確認してほしいなどと言われます。
TikTok、Twitter、LinkedIn その他のソーシャルメディア
ソーシャルメディアでは、上の場合と似たようなコールドコールメッセージを受信することもありますが、豚殺し詐欺は、よりはっきりした意図を示し、被害者候補となる人とより深い、緊密な会話を求めます。このようなプラットフォームで豚殺し詐欺を働く犯罪者は、多くの場合、WhatsApp、Telegram などの他のプラットフォームや SMS に会話を移動したいと申し出ます。
Tinder、Bumble その他のデートアプリ
デートアプリは、メッセージング、ソーシャルメディアプラットフォームとは異なり、ユーザーのマッチングを確認してからでないと互いにメッセージを送ることができません。詐欺師が偽造するプロフィール自体にプラットフォームから移動することを促す情報を入れることも可能ですが、そうするとアプリの管理者に危険信号と見なされ、プロフィールが削除される可能性があります。ですから、一般的に、マッチングできるユーザーを探してから会話を始め、そして別のプラットフォームに移動するよう誘導します。
著者は Tinder、Bumble、Hinge を含む各種のデートアプリで豚殺し関連のプロフィールに遭遇しました。
本調査中、Tinder で遭遇したプロフィールには、あまり普通でない、常識はずれの名前が使われていました。「クラッシュ」、「トマト」、「マイルド」などです。 また、同一の名前で登録されているプロフィールも多数あり、同じ写真を使ったものもありました。デートアプリによってはニックネームを使ったりして本名を表示しないことがありますが、このような変わった名前とその行動から、これらは偽のプロフィールであることに間違いはありませんでした。
著者が発見した興味深いもうひとつのことは、豚殺しに関連した Tinder のプロフィールの多くは、青の認証済みバッジを掲載していたことです。このバッジは Tinder の自撮り検証プロセスの一部で、ユーザーの安全を保つ目的で設定されている機能です。
なぜ豚殺し屋はプラットフォームから WhatsApp、Telegram、 SMS などに移動したがるのですか。
豚殺し詐欺師は、SNS のプラットフォームよりもメッセージングサービスから標的のユーザーとやりとりをすることを好んでいます。その理由は以下のとおりです。
- ソーシャルメディアやデートのプラットフォームには、非常に多くの人たちが登録されていて、標的となりうるユーザーが多数います。やりとりが始まったらすぐに別のメッセージングサービスに移動しようとするのは、プロフィールが偽であることを報告されて削除されることを防ぐためです。
- ソーシャルメディアのプラットフォームに比べると、メッセージングサービスは管理が緩く、報告機能も弱いことが知られています。
- 偽のソーシャルメディアのプロフィールは、被害者となるであろうユーザーを次々と惹きつけることを目的としています。しかし、一旦ユーザーがやりとりに応じると、ソーシャルメディアプラットフォームは長期詐欺を働くには理想的な場所ではありません。
ここで明確なことは、これらの偽のプロフィールを操っている詐欺師の最初の目的はただひとつ、被害者となるであろうユーザーを素早く別のサービスに移動させることです。
ソーシャルメディアとデートアプリで偽プロフィールを操っている人と、メッセージングアプリで偽プロフィールを動かしている人は同じ人たちでしょうか。
違うと思います。ソーシャルメディアやデートアプリのアカウントは、「対象者を集める」ために作られていると思います。すべては相互につながってはいますが、豚殺しそのものとは違う種類です。
「ハーダー」は豚殺し詐欺における仕掛け人で、多数のユーザーと毎日ソーシャルメディアやデートアプリでやりとりをする人です。なるべく多くの「豚」を WhatsApp、Telegram、SMS などのメッセージングアプリに移動させることが仕事です。プラットフォームから移動した後のやりとりは、この種の詐欺行為に熟練した「ブッチャー」(殺し屋) が担当します。ブッチャーは、被害者となるであろう人と長期にわたって会話をします。非常に巧な手腕が求められる役割です。早まって行動に出ると、大金を巻き上げる機会を失うリスクがあります。
ハーダー(左) とブッチャー(右) の例
ブッチャーには、被害者との会話のし方をまとめたガイドがあることが報告からわかっています。しかし、著者のブッチャーとのやりとりの経験では、監督のような役割の詐欺師がいて、普通の作業の監督のように、特に回答しにくい難しい質問があった場合などに助言しているようです。
このようなソーシャルメディアやデートアプリのプロフィールにある画像はすべて偽ですか。
はい、メッセージングプラットフォームで共有されている既定の画像、アバター、プロフィール写真その他の写真はすべて偽です。合法的なユーザーから盗まれたもので、豚殺し詐欺に流用されています。
でも、その人は Facebook と Instagram にアカウントを持っていたようでしたが、それらも偽なのですか。
はい、そうです。詐欺師が偽のプロフィールを作って合法的に登録している場合もあります。Tinder のようなデートアプリ上の偽プロフィールには、多くの場合、ほかのソーシャルメディアプラットフォームへのリンクが付加されていません。本物のユーザーはソーシャルプロフィールにリンクを付けることが多いと思います。
上の例の「Betty」は、Tinder の履歴でインスタグラムにプロフィールがあることに触れているので、インスタで「Betty」のアカウントを探したら、そのアカウントには同名の Facebook プロフィールへのリンクがありました。
皮肉にも、Facebook の「Betty」のアカウントは、そもそも盗んだ写真を使った偽のプロフィールなのにもかかわらず、「たいくつで、たまらなくなって、他の人のアカウントを盗むような泥棒になりたくなる人がいるのはなぜかしら」と投稿していました。
これらの偽プロフィールには人工知能 (AI) で作成された画像が使われていましたか。
盗まれた写真でなく、AI で生成されたと思われる画像をデートアプリのプロフィールで見たことはあります。
AI 生成画像が使われている Bumble の偽プロフィールの例と AIorNot.com が「多分 AI」と指摘したプロフィール写真
しかし、この傾向はまだ蔓延しているとは思いません。デートアプリで豚殺しのプロフィールを作成している詐欺師は、今でも他から盗んできた写真を使っています。それでも、今後、ChatGPT や Google の Gemini その他の大規模言語モデル (LLM) ツールを使った AI で生成された画像やコンテンツに移行することが予想されます。
このような豚殺し詐欺師はどこを拠点に活動しているのでしょうか。
著者が直接やりとりしたブッチャーのほとんどは南アジアの国々で活動していることが確認できました。タイ、ラオス、フィリッピン、香港その他です。
豚殺しのプレイブックには何が書いてありますか。
正式な情報とは言えませんが、著者の経験から豚殺しのプレイブックには以下の内容が含まれています。
- 定期的な会話を続ける土台を築く
- 相手に思いやりと関心を示す
- 合法であると見せかけた仕事について話して、金銭投資の知識があることを明示する
- 金銭投資の手腕について自慢する
- 金銭または暗号資産を相手に投資させるよう説得する
- 被害者のお金をごっそり盗み取って去る
次に以上のステップを細かく説明していきます。
定期的な会話を続ける土台を築く
豚殺し詐欺は長期戦です。長期詐欺というプロセスで、被害者と一定のレベルのコミュニケーションを維持します。「おはよう」とか「おやすみなさい」などというメッセージを送っで、フィットネストレーニングや、みせかけの仕事についてあれこれ話したりして、被害者に喜ばれるように努めます。
相手に思いやりと関心を示す
著者の経験では、食べ物の話題を通じてユーザーに関心を示す方法が主です。たとえば、朝食、昼食、夕飯をとったかなどと尋ねたり、自分の食事の写真を送るのに一生懸命になったりします。このようなやり方は、相手の心身の健康について思いやりがあることを表すのが目的だと想像します。
相手のために食事を作ってもいい、一緒にレストランに行こう、などとも話しかけます。
著者がやりとりしたブッチャーのアカウントは、英語が第一言語でないことが明らかです。詐欺師は、英語を誤解したり、「サンドイッチが何か知っているか」など怪しい質問をしたりすることがありました。
音声メモがいくつか送られてきて、そのアプリで音声電話をかけようとした詐欺師もいました。電話は拒否しましたが、音声メモは保存したので、そのメモを次ぎ合わせたものが次です。
合法であると見せかけた仕事について話して、金銭投資の知識があることを明示する
仕事はデートアプリでは一般的な話題です。ブッチャーは、偽のペルソナの仕事、不動産や株式、暗号資産などで儲けたことなどについて嘘の話を作りあげます。最初は「その他の金融商品」などという用語を使って、暗号資産について直接触れないようにするかもしれません。
従来の金融商品 (株式、不動産) やその他の投資 (暗号資産、金スポット) などに投資したことがあるかなどと尋ねます。
投資取引で成功したことを自慢する
株式価格の上下変動を示すグラフの画像を見せたりします。資産はビットコインであったり、イーサリアムやライトコインであったり、またステーブルコインの Tether や、XAUUSD などの金スポットであったりします。
詐欺師は、儲ける方法を指南したり教えたりしてもよいと申し出ます。
著者が遭遇した多くのブッチャーは、個人的な投資の成功は親や伯父や伯母などの親戚によるものという話を捏造していました。家族の者が秘訣を教えてくれた、または投資の専門家がアドバイスしてくれたなどと言うかもしれません。
投資に関するアドバイスを提供する前に、母、父、伯父、伯母などから許可を得なくてはならないと言う場合もあります。このような会話では、投資に関するアドバイスは内緒にするようにと言われるでしょう。
投資アドバイスを秘密のものと位置付けることによって、詐欺師は相手とある種の親密な関係を築くことを眼中に置いており、その関係を投資の説得をするときに利用します。
金銭または暗号資産を相手に投資させるよう説得する
この長期的な「求愛」のプロセスは最終的に、金銭または暗号資産をいくつかある金融商品のひとつに投資したらどうですか、というところに行きつきます。金融商品にはビットコイン ($BTC)、イーサリアム ($ETH)、ライトコイン ($LTC) などの暗号資産のトークンやテザー($USDT) などのようなステーブルコインがあります。詐欺師は、$XAUUSD のような金スポット投資に勧誘することもあります。以上のトークンが著者の調査で遭遇した例ですが、豚殺し詐欺はこのほかのトークンも悪用しています。
豚殺し詐欺に使われているさまざまな投資商品についてより詳しくは、本ブログの第2部をご覧ください。
被害者のお金をごっそり盗み取って去る
この種の詐欺の目標は、被害者からできるだけ多額のお金を巻き上げることです。著者の調査では、この最終段階には到達しませんでした。しかし、他の被害者の話によると、プラミッド詐欺などほかの投資詐欺で一般的に使われる方法を使って、早い時期に見せかけの利益を見せたり、資金を引き出すことをさせたりすることもあるようです。これは「豚を肥やす」プロセスの一部で、に本当に儲かると被害者に思い込ませるのが目的です。しかし、これらのみせかけの利益は、他の被害者から盗まれた資金が再分配されていたり、詐欺師が制御しているなりすまし投資サイトで利益のように表示されたりしたものと考えられます。最終的に、詐欺師は被害者に投資金額を増やすよう再三要求して、被害者のふところが空っぽになったところで消え失せます。
本稿では、豚殺し詐欺を働く詐欺師がメッセージングやソーシャルメディア、デートアプリで標的に目を付け、「ハーダー」と呼ばれる仕掛け人が被害者を熟練した「ブッチャー」に送り込み、実際の詐欺行為が侵されるまでにある程度の信頼関係を確立することを記述しました。 第2部では、豚殺し屋が偽の暗号資産投資サイトや非公式のモバイルアプリを使って膨大な金額を盗取している状況を解明していきます。
もっと詳しく
関連記事
Cybersecurity Snapshot: Latest MITRE ATT&CK Update Offers Security Insights on GenAI, Identity, Cloud and CI/CD
April 26, 2024Check out what’s new in Version 15 of the MITRE ATT&CK knowledge base of adversary tactics, techniques and procedures. Plus, learn the latest details about the Change Healthcare breach, including the massive scope of the data exfiltration. In addition, why AI cyberthreats aren’t impacting CISOs’ budgets. And much more!
CVE-2024-20353, CVE-2024-20359: Frequently Asked Questions About ArcaneDoor
April 25, 2024Frequently asked questions about CVE-2024-20353 and CVE-2024-20359, two vulnerabilities associated with “ArcaneDoor,” the espionage-related campaign targeting Cisco Adaptive Security Appliances.
CVE-2024-4040: CrushFTP Virtual File System (VFS) Sandbox Escape Vulnerability Exploited
April 23, 2024A zero-day vulnerability in CrushFTP was exploited in the wild against multiple U.S. entities prior to fixed versions becoming available as the vendor recommends customers upgrade as soon as possible.
Cybersecurity Snapshot: Latest MITRE ATT&CK Update Offers Security Insights on GenAI, Identity, Cloud and CI/CD
April 26, 2024Check out what’s new in Version 15 of the MITRE ATT&CK knowledge base of adversary tactics, techniques and procedures. Plus, learn the latest details about the Change Healthcare breach, including the massive scope of the data exfiltration. In addition, why AI cyberthreats aren’t impacting CISOs’ budgets. And much more!
CVE-2024-20353, CVE-2024-20359: Frequently Asked Questions About ArcaneDoor
April 25, 2024Frequently asked questions about CVE-2024-20353 and CVE-2024-20359, two vulnerabilities associated with “ArcaneDoor,” the espionage-related campaign targeting Cisco Adaptive Security Appliances.
CVE-2024-4040: CrushFTP Virtual File System (VFS) Sandbox Escape Vulnerability Exploited
April 23, 2024A zero-day vulnerability in CrushFTP was exploited in the wild against multiple U.S. entities prior to fixed versions becoming available as the vendor recommends customers upgrade as soon as possible.
- Research
- Exposure Management
- Research Reports