VibeScams（バイブスキャム）：AIが生み出す本物そっくりの偽サイト――拡大し続けるフィッシング脅威

Nortonなどを展開するサイバーセキュリティ企業Genの脅威専門家による調査により、新たなフィッシング脅威「VibeScams（バイブスキャム）」がどれほど深刻になっているかが明らかになりました。初心者でもAIを使って本格的なウェブサイトを簡単に構築できる「AIウェブビルダー」40種類を分析したところ、そのうち12種類が大量の悪質なサイトをホストしていることが確認されました。

2025年1月から8月末までの間に、Norton 360を含むGenのCyber Safety製品は、約14万件の異なるAI生成詐欺サイトをブロックしました。これは1日あたり平均約580件の新規詐欺サイトに相当します。

VibeScamsとは？

VibeScamsとは、正規サイトの外観や雰囲気を模倣して作られた悪質な偽ウェブサイトです。AIによってわずか数分で「バイブコーディング」されており、その真の目的は多くの場合フィッシングにあります。ログイン情報や決済情報などの機密データを入力させたり、マルウェアをダウンロードさせたりすることが狙いです。暗号資産（仮想通貨）詐欺への悪用もよく見られます。

VibeScamサイトに機密情報を入力すると、アカウント乗っ取り、マルウェア感染、金銭的損失、データ窃取、最悪の場合はなりすまし被害につながるおそれがあります。

VibeScamサイトは、人が無意識に信頼する視覚的要素――ブランドカラー、ロゴ、レイアウト、ナビゲーションメニュー、ログインフォーム、さらにはプライバシーポリシーまで――を再現し、全体として信頼できる「雰囲気」を作り上げます。狙いは、本物だと錯覚させて機密情報を入力させてしまうようなページを作ることです。

AIツールはこうしたディテールを迅速かつ説得力のある形で再現できるため、詐欺師はほとんど労力をかけずに、大量のリアルなフィッシングページを立ち上げることができます。

「VibeScamsの本質はコードだけではありません。『感覚』こそがすべてです。AIビルダーは誰でもブランドの『雰囲気』を複製でき、それがユーザーを騙すのです。」――Gen脅威リサーチャー

VibeScamsの仕組み

バイブスキャムは通常、簡単なプロンプトやスクリーンショットからページを生成できるAIウェブサイトビルダーの利用から始まります。詐欺師は、銀行、メールプロバイダー、暗号資産取引所、オンラインショップなどのログインページの再現をAIに指示します。基本デザインは無料で生成できることが多く、ログインフォームや決済ポータルなどの機能要素は有料機能として提供されるのが一般的です。

生成された偽サイトは公開されます。多くの場合、正規組織のURLとほぼ同一のタイポスクワッティング（タイプミス型）ドメイン上に配置されます。たとえば、Netflixの正規URLの代わりに「netfllix[dot]com」のようなドメインを使うといった具合です。その後、詐欺師はメール、SMS、SNS投稿、悪質な広告、フォーラム内のリンクなど、さまざまな経路からのフィッシングで偽サイトへトラフィックを誘導します。

疑いを持たないユーザーがページにアクセスすると、サインイン、決済情報の入力、デジタルウォレットの接続、暗号資産への投資、サポート窓口への電話などを求められることがあります。デザインは本物に見えますが、入力された情報はそのまま攻撃者の手に渡ります。

サイバー犯罪者にとっての技術的ハードルが低いため、VibeScamは極めてスケールしやすい手法です。優秀なブラックハットハッカーでなければサイバー犯罪はできなかった時代は終わり、技術やデザインの専門知識がほとんどない人でも、本物に見えるフィッシングサイトを作れるようになってしまいました。

VibeScamの実例

VibeScamsには、有名ブランドになりすました偽サイト、ありえないほど安い価格を提示する架空のネットショップ、偽の暗号資産取引プラットフォームなど、詐欺師の想像力次第でさまざまな形態があります。よく見られる例は以下の通りです。

• オンラインバンキング、SNS、Microsoft・Google・Amazonなどの企業になりすましたログインページで、アカウント認証情報を盗み取る。
• 配送通知やアカウント警告を装い、個人情報や決済情報の確認ページへ誘導する。
• 人気商品や有名ブランドを不自然に安い価格で販売するネットショップ。
• 正規の取引所やウォレットを装った暗号資産・投資プラットフォームで、アカウント接続や送金を促す。
• 「端末が感染しています」と警告し、詐欺用の電話番号への連絡を促すポップアップや偽テクニカルサポートサイト。

以下は、Genの脅威リサーチャーが調査中に「実際の現場」で発見したVibeScamsの実例です。

Amazonになりすましたフィッシングサイト。

CoinbaseになりすましたAI製の偽サイト。

悪質なAI製テクニカルサポートサイト。

脅威リサーチャーはこのほかにも、MetaMask、DHL、AT&TなどになりすましたVibeScamサイトを発見しています。

VibeScamの立ち上げはどれほど簡単か？

手順は非常にシンプルです。こうした悪質なサイトがどれほど簡単に作れてしまうのかを検証するため、Genの脅威リサーチャーは複数のAIウェブビルダーを使って自らVibeScamsを生成してみました。使用したのはツールの無料版で、AIで生成したプロンプトをそのままコピー＆ペーストしただけで、ほとんどの場合、追加の調整は不要でした。

その結果、コーディング知識ゼロ・最小限の労力で、有名ブランドを模したリアルなフィッシング・詐欺ページが完成しました。リサーチャーが実験的に作成したVibeScamサイトの例を以下に示します。

TikTokのログインページを模したVibeScam。

暗号資産取引プラットフォームCoinbaseを模したVibeScam。

暗号資産プラットフォームBinanceを模したVibeScam。

なお、これらのテストサイトはデザインのみに限られていました。認証情報の収集などの追加機能を実装するには、有料機能やプラットフォーム外での開発（たとえばAIでコードを生成し、実際に動作する偽「ログインページ」を作るなど）が必要になります。

悪質なウェブサイトから身を守るには

VibeScamサイトにアクセスしてしまった疑いがある場合は、一旦立ち止まり、情報源を確認し、サイトが正当なものだと確信できるまでそれ以上操作しないのが最も安全です。以下の対策をおすすめします。

• 大幅割引を疑う：異常に大きなセールや「良すぎる話」には注意が必要です。サイト全体が割引表示されている場合は特に警戒してください。
• 切迫感を煽る表現を信用しない：急ぐよう圧力をかけたり焦りを感じさせたりするメッセージには要注意です。
• URLを入念に確認：スペルミス、余計な単語、奇妙なドメイン構造がないか、必ずチェックしましょう。
• 信頼できるサイトへ直接アクセス：怪しいメール、SMS、広告のリンクをクリックせず、URLを直接入力して公式サイトにアクセスしましょう。
• アカウントを保護：サービスごとに一意で強固なパスワードを設定し、すべてのアカウントで多要素認証（MFA）を有効化。パスワードはパスワードマネージャーで管理するのが安全です。
• 詐欺対策ソフトを活用：リンクやページの安全性を評価し、マルウェアから端末を守るAI搭載のCyber Safetyツールを導入しましょう。Norton 360 Deluxeなら、フィッシングサイトからAI駆動で保護します。

VibeScamに引っかかってしまったら

偽サイトとやり取りしてしまった可能性がある場合は、迅速に行動することで被害の拡大を抑えられます。アカウントの確保、金銭面の保護、不審な活動の監視に集中しましょう。

• パスワードを変更：偽サイトにログイン情報を入力した場合は、影響を受けるアカウントのパスワードを直ちに変更してください。特に使い回していたパスワードは最優先で対応を。
• 2FA／MFAを有効化：二要素認証・多要素認証を利用できるすべてのサービスでオンにしましょう。これにより、犯罪者がパスワードを知っていても、メールやSMS、認証アプリで届く特別なコードなしにはアカウントにアクセスできなくなります。
• 金融機関に連絡：クレジットカードなどの決済情報を詐欺師に知られてしまった場合は、直ちに銀行やカード会社に連絡し、カードの凍結や不正取引の取り消しを依頼しましょう。
• 不審な活動を監視：不正な金融取引、パスワードリセット通知、メールアドレスや電話番号の変更、見覚えのない連携デバイスなどの異常がないか、アカウントを継続的にチェックしてください。
• 端末をスキャン：VibeScamサイトのリンクをクリックしたことでマルウェアがダウンロードされた可能性があるため、信頼できるアンチウイルスソフトで端末をスキャンしましょう。
• 被害を通報：Google Safe Browsing、FTC（米国連邦取引委員会）、Internet Crime Complaint Center（IC3）に偽サイトを通報し、他の人が同じ詐欺に遭わないようにしましょう。可能であれば、サイト作成に使われたAIウェブビルダーやホスティングプロバイダーにも通報してください。

• Jeremy Coppock（ジェレミー・コポック）
• スタッフサイバーセキュリティ編集者

Jeremy CoppockはNortonのスタッフ編集者で、詐欺対策教育に関心を持っています。大手オンライン小売業者で不正調査員として勤務した経験があります。

編集部注：本記事は教育的な情報を提供し、Cyber Safetyにおける重要なトピックへの意識向上を目的として執筆されています。Norton製品・サービスが、本記事で扱うすべての種類の脅威、詐欺、犯罪から保護できるわけではありません。記事の調査・執筆・レビューに関する詳細は、編集方針をご覧ください。