そのChatGPTアプリ、本物ですか？偽AIツールがユーザーを狙う

Appknoxによると、ChatGPTやDALL·Eなどの人気AIツールになりすまして、モバイル端末にマルウェアをインストールさせようとする不正アプリが確認されています。中には、広告サービスに販売する目的でユーザーデータを収集するだけのものもあれば、本格的なマルウェアとして監視や情報窃取を行うものもあります。

Appknoxは次のように説明しています。「Aptoideで配布されている『DALL·E 3 AI Image Generator』というアプリは、OpenAIの製品を装い、AIによる画像生成をうたっていますが、実際にはAI機能は一切ありません。このアプリはAdjust、AppsFlyer、Unity Ads、Bigo Adsといった広告・分析サービスにのみ接続し、ユーザーデータを利益のために流しているだけです。」

また「WhatsApp Plus」と呼ばれる別のアプリは、「端末や通信の監視、認証情報の窃取、バックグラウンドでの常駐動作が可能なフル機能のマルウェアフレームワークをインストールする」と説明されています。

リサーチャーは次のように説明しています。「一度実行されると、このマルウェアは連絡先の読み取り、SMSや通話履歴へのアクセス、端末に登録されているアカウント情報の取得、テキストメッセージの送信など、広範な権限を得ます。」

「これらの権限によって、一度限りのパスワード（OTP）の盗み取り、アドレス帳の抜き取り、さらにはチャット上で被害者になりすましてメッセージを送信することさえ可能になります。」

Appknoxは、攻撃者が人気のトレンドを悪用してソーシャルエンジニアリング攻撃を仕掛けるケースが多いと指摘しています。AIツールの利用が広がり続ける中で、このようななりすましアプリによる攻撃は今後も続くと見られます。

同社は次のように警告しています。「偽アプリが次々と出回っている現状は、より根深い問題を浮き彫りにしています。それは、ブランドへの信頼そのものが、攻撃者にとって狙いどころになっていることです。AIツールやメッセージングツールが広く使われるようになるにつれて、一から新しいマルウェアを作るよりも、信頼できそうなツールを装ってユーザーをだます方が、はるかに効率よく利益を得られると攻撃者は学んでいます。『ChatGPT Wrapper』のように堂々と公開されている偽アプリもあれば、DALL·Eを装うアプリのように、広告表現でユーザーを誤解させ、違法かどうかの線引きをあいまいにしているものもあります。さらに『WhatsApp Plus』のように、ユーザーが慣れ親しんだ存在を悪用し、監視のためのツールへと変えてしまうものもあります。」

KnowBe4のセキュリティ意識向上トレーニングは、従業員のセキュリティ意識を高め、日々求められるセキュリティ上の判断に従業員一人ひとりが的確な意志決定を下すことを可能にします。世界の7万社を超える企業や団体がKnowBe4を採用して、防御の最終ラインとして「人」による防御壁を構築して、セキュリティ文化の形成につなげています。

詳細については、AppKnoxの記事を参照してください。