List of Phishing [text.Baldanders.info]

AI による豚の屠殺詐欺か？

2026-09-02T02:02:05+00:00

豚の屠殺詐欺？

今回は我らが Bruce Schneier 先生のブログ記事から。

What’s the Scam? - Schneier on Security

彼が提供するニュースレターの購読手順は (1) ウェブページで情報を入力 (2) 自動生成されたメールに返信というもの。まぁ一般的な手順。で，最近そのメールに対して1行だけの個別返信が届くようになったそうな。曰く

Thank you for the positive impact your emails have had on my life.
Your emails are a game-changer.
Your emails are a constant reminder of why I subscribed.
Your emails rock.
Thank you for the time and effort you put into creating these informative emails.
Thank you for the passion and enthusiasm you infuse into your email content.
Your emails consistently exceed my expectations. Thank you for the exceptional value!

via What's the Scam? - Schneier on Security

Bruce Schneier 氏は以前から確認メールの返信で個別のメッセージを受け取ることがあったそうで，最初はこれらが偽物であることに気付かなかったらしい。まぁ，でも，こういうのが一遍にくれば怪しいと思うよね。しかもよく見れば AI 臭い文章だし（笑），メールアドレスも Gmail でアカウント名がランダムな文字列になってるし。件のメールアドレス群は最終的にはニュースレターの購読を行っていないそうな。

氏は最初 “pig butchering scam” を疑ったそうだが，それにしては氏の返信以降音沙汰がないので？？？な感じらしい。

“Pig butchering scam” は日本語で「豚の屠殺詐欺」などと訳されているようだ。 SNS やメッセージングアプリなどを使って最初は友好的な態度で接近し，仲良くなってから「儲かる投資話」などを持ちかける手口なんだとか。これが「豚を肥え太らせて屠殺する」行為に類似してるとして名付けられたらしい。 2022年ごろからこの手の詐欺報告が増えてるそうで Bruce Schneier 氏も言及されていた。いわゆる「ロマンス詐欺」もこれの一種かな？

記事の反響

記事は最後に “Anyone have any idea?” と締めくくっていて，これに対するコメントがなかなか面白かった。

多かったのはメールアカウントのウォームアップまたはエージング仮説。将来 spam 送信や詐欺に使うため，メールでの会話履歴を作り Google による不正検知を回避しようとしてるのではないか，というもの。その会話履歴を AI で自動生成し省力化しているわけだ。これなら会話を継続させる必要もないだろう。

収集したメールアドレスが「生きてる」かどうか確認し，さらに返信内容からユーザのアクティビティを推測しているのではないか，という意見もあった。

面白かったのは AI エージェントによる自律的¹ な実行または誤動作の可能性。特定のコミュニティに属する人々の反応や，購読者限定の情報を集める目的があったのではないか，というもの。あるいは，単に「メールに自動返信する」というタスクを実行しただけというもの。さらには，エージェント特有の多段階作業の副作用で与えられたタスクから外れた行動を取ったのではないか，という意見もあった。

ちなみに Kagi Assistant に AI エージェントが独力で Gmail アカウントを取得することは可能か聞いてみたが，少なくともアカウントの大量取得についてはエージェント単独では無理じゃね？と言われた。

AI はチョロいか？

記事やそれに対するコメントをつらつらと読んで妄想したのは，メールであれメッセージングアプリであれ，メッセージの送り手と受け手の双方が AI エージェントを代理に使っていた場合，どのようなやり取りが行われるのだろう，ということだ。少なくとも送られてきたメールをエージェントが読んで，それらしい返信を行うというのはできるっぽい。人間にはやりとりの結果だけ知らされるが，実はその何倍もの情報をやり取りしてるってのはありそうな話である。あるいは AI 間のやり取りでなら「豚の屠殺詐欺」など回りくどいことをせずとも案外チョロいんではないか，などと思ったりする。

というわけで，色々と妄想がはかどる記事であった。

ブックマーク

私としては何度でも「自律機械は存在しない」と主張しておこう。詳しくは「自律的な AI エージェントとは」参照。 ↩︎

Signal への攻撃手口（ソーシャルエンジニアリング）と防御策

2026-04-28T04:12:54+00:00

今朝，Bluesky と Mastodon の TL に Signal による長いスレッドが上がっていた。 Bluesky のポストは以下から始まるスレッドである（Mastodon のほうも内容は同じ，多分）。

A response to recent reporting in Germany, in service of clarity and accountability: First, it’s important to be precise when it comes to critical infrastructure like Signal. Signal was not “hacked” — in that our encryption, infrastructure, & the integrity of the app’s code was not compromised. 1/
— Signal (@signal.org) April 28, 2026 at 5:53 AM

ちょっと何言ってるか分からなかったので Kagi Assistant と GitHub Copilot に手伝ってもらいながら調べてみた。

もとになってる報道

Signal に対する攻撃，特に phishing を含むソーシャルエンジニアリングについては以前から言われていて，ドイツ BSI (Bundesamt für Sicherheit in der Informationstechnik) も Signal の利用ガイドラインを公開しているほどだ。

にもかかわらずってことなんだろうなぁ。

Signal による声明の直接のトリガーとなっているのは先週のドイツでの一連の報道のようだ。発端は DER SPIEGEL の報道：

Julia Klöckner ist Opfer des Signal-Hacks - DER SPIEGEL

これは有料記事だが，他メディアでもいくつかあった。

この中では Tagesschau の一連の記事が良さげなので Kagi Assistant に要約してもらった。

ドイツの政界や重要機関を標的としたSignalでの大規模なフィッシング攻撃は，国家が関与するスパイ工作の疑いへと発展しています。

被害の規模と対象:
- ドイツ連邦議会のほぼすべての会派の議員が標的となり，ユリア・クレックナー連邦議会議長や，フーベルツ建設相，プリーン家族相といった現職閣僚の被害も確認されています。
- 政治家だけでなく，ジャーナリスト，軍関係者，さらにはNATO関係者も攻撃対象に含まれています。
攻撃の手法:
- 攻撃者は「Signalサポート」を装い，偽のセキュリティ警告でユーザーに接触します。
- ユーザーを騙してPINコードを聞き出しアカウントを完全に奪取するか，あるいはQRコードをスキャンさせて攻撃者のデバイスを連携（同期）させることで，チャット内容や連絡先，過去45日分のファイルを盗み見ます。
当局の捜査と背後関係:
- ドイツ連邦検察庁は，本件を「諜報員活動（スパイ容疑）」として正式に捜査を開始しました。
- ドイツ治安当局（BfVおよびBSI）は，このキャンペーンが「国家主導のサイバー攻撃者」によるものであり，現在も勢いを増していると警告しています。
- オランダの諜報機関や米国のFBIは，この攻撃の背後にロシアの諜報機関が関与していると特定しています。
Signal側の見解:
- Signalは，アプリの暗号化やインフラ自体が突破されたわけではなく，あくまでユーザーを欺くソーシャルエンジニアリングによる攻撃であると強調しています。

大体合ってるかなぁ。ドイツ語はよく分からないので自信がない。

GitHub Copilot が各メディアの報道の違いを表にまとめてくれるというのでやってもらった。

媒体	位置づけ	主なポイント	閲覧性
DER SPIEGEL	初報の可能性が高い	政治家アカウント被害の最初期報道。見出しで「Signal-Hack」と表現	本文はSPIEGEL+（有料）
Tagesschau	検証・整理記事	「最初にSPIEGELが報じた」と明記。ハックではなくフィッシングという整理が明確	無料で読みやすい
taz	補強報道	被害対象，政府見解，手口（偽Signal Support）を具体化。SPIEGEL初報への言及あり	無料
ZEIT	続報	政府・当局側の見方（ロシア関与の可能性）を短く整理	一部制限あり（記事により差）

Signal による声明

というわけで Signal による SNS での声明に戻る。これについても Kagi Assistant に要約してもらった。

攻撃の性質: Signalの暗号化やインフラ自体が「ハッキング」されたわけではありません。実際には，攻撃者が「Signalサポート」を装い，ソーシャルエンジニアリングを用いてユーザーから認証情報を聞き出す巧妙なフィッシング詐欺が発生しています。
手口の詳細: 攻撃者は盗んだ情報でアカウントを乗っ取り，登録電話番号を変更します。被害者には「再登録が必要」と信じ込ませて新しいアカウントを作らせることで，乗っ取りに気づかせないようにします。その後，乗っ取ったアカウントを使って被害者の連絡先にさらなる攻撃を仕掛けます。
Signal側の対応: 今後数週間で，こうした攻撃を阻止するための新機能を導入予定です。
ユーザーへの推奨事項:
- Signalサポートがメッセージリクエストを送ったり，認証コードやPINを尋ねたりすることはないため，警戒を怠らないこと。
- 保護を強化するため，設定から「登録ロック」を有効にすること。

んー。これは大体合ってるはず。

「登録ロック」はアプリの設定の「アカウント」セクションにある項目で，電話番号を変更する際に PIN 入力を要求するらしい。

Signal アカウント設定より

PIN をばらしちゃったらダメだけどね。ちなみに Signal の PIN は英字も含めることができる。

Phishing はシステム侵入の手口としてはありふれていて，しかも人間の行動が関与するから完全には防ぎづらい。故に多層防衛をしていかないと「蟻の一穴」から簡単に class break してしまうことになる。

GitHub Copilot はこうまとめてくれた。

本件は，セキュアな暗号技術がそのまま利用者体験の安全を保証するわけではないことを示した事例である。攻撃者は最も弱い層，すなわち人間の心理と手続きを狙う。ゆえに防御も，暗号強度だけでなく，認証情報を渡さない運用，異常時の確認手順，設定レベルの予防策を組み合わせて成立するのである。

全く以ってそのとおり！

余談だが…

最初の SNS のポストの内容を元に Kagi Assistant と GitHub Copilot に元ネタとなるドイツ報道を調べてもらった。 Kagi Assistant のほうは自前の検索サービスがあり，一発で Tagesschau の記事を引き当てたので問題なかったが， GitHub Copilot はだいぶ難儀していた。

まず DuckDuckGo で調べようとして bot 判定され拒否られる。そこで Bing に切り替えたのだがノイズが多すぎて見つからなかったようだ（「検索エンジンが使いづらい」と愚痴ってた。 AI も愚痴るのかw）。まぁ， Google を使わなかっただけ偉いと言っておこう（笑）

そんで検索サービスを彷徨うのは一旦諦めて Bluesky の該当スレッドを API 経由で取得し，そこからようやく「Julia Klöckner（独連邦議会議長の人）」というキーワードを引き当てた。これを使って Bing で絞り込みをかけた結果，意味のある検索結果を得られたという流れだった。

この GitHub Copilot による一連の作業をチャット上で眺めながら，人間みたいなことをするんだなぁ，と妙なところで感心してしまった。そんでもって，ネット上の調べ物は Kagi Assistant のもんやねぇ，と思う。

そもそも調べ物をするのに検索窓を叩いて調べるとかせんやろ，いまどきは。ノイズに塗れた Web で，かつ主要検索サービスがメタクソ化する状況で「行きたい場所」に到達するには，結局 AI を使わなきゃ無理なのよ。特に今回みたいな漠然とした内容で知らない言語圏の情報を探す場合は。

つまり，もはや AI に認知してもらえないサイトやページは存在しないのと同じで，安易に拒否してるだけでは大海に取り残された某島の生物のようになってしまうだろう。

参考

セキュリティはなぜやぶられたのか: ブルース・シュナイアー (著), 井口耕二 (翻訳); 日経BP 2007-02-15; 単行本; 4822283100 (ASIN), 9784822283100 (EAN), 4822283100 (ISBN); 評価

[Comment] 原書のタイトルが “Beyond Fear: Thinking Sensibly About Security in an Uncertain World” なのに対して日本語タイトルがどうしようもなくヘボいが中身は名著。とりあえず読んどきなはれ。ゼロ年代当時 9.11 およびその後の米国のセキュリティ政策と深く関連している内容なので，そのへんを加味して読むとよい。

reviewed by Spiegel on 2019-02-11 (powered by PA-APIv5)

今日の戯れ言：週末は掃除三昧

2015-09-20T09:33:08+00:00

世間ではシルバーウィークとかなんとか言うらしいですが，私には関わりのねぇこってござんす。

仕事部屋が広くなった orz

ついに実家の親から仕事（魔窟）部屋をかたせ，と命令が下りまして（他にも色々大変だったんだけど），泣く泣く本を手放した。

今の場所に引っ越してきたのは16年ほど前だけど，主に漫画本が溜まりまくってて。軽トラ1台分の単行本を処分。まぁ，最近は Kindle で買えるし，いいんだけどね。 15年くらい前は4コマで人気だったのに，今ではさっぱり名前を聞かない作家さんの本とかもあって，惜しむ気持ちはあったんだけど，命令には逆らえません。

でも好きな作家さんの本はどうしても捨てられませんでした。というわけで

竹本泉エリア。整理したら３段ぶち抜きになってしまった

漫画本の本棚が大変なことに。

仕事関係の本は今回は手付かず。（Kindle 含め） E ブックで買えるなら，これこそ紙で買う必要はないんだけどね。

ラノベで紙の本で買ってたものは全て処分した。 Kindle で買えるし。

国勢調査を片付けた

国勢調査の回答をネットで片付けた。

国勢調査オンライン窓口 - 総務省統計局

Symantec の証明書かぁ。いや，まぁ，いいんだけどね。そういや，偽サイト作って怒られてた人いたな。

国勢調査の“偽サイト”作った意図は？　総務省から削除依頼……「騒ぎになり深く反省」と制作者 (1/3) - ITmedia ニュース

常識だと思うが， Phishing サイト自体は誰でも作れる。昔は日本語が怪しかったりして，ひと目でわかるようなものが多かったが，今の職業犯罪者は明確に「憐れな日本人」ユーザをターゲットにしているので，見た目ではわからないことも多い。従って，そのサイトまたはページが本物かどうかは URI と証明書で判断するしかない。

幸い今回は調査員がマニュアルとアカウント情報を手渡しでくれるので（調査員が信用できるのなら）それほど問題ではないだろう。怪しい電子メールに書いてある URL や検索サービスの検索結果に表示されているページをそのまま開くのでないなら，ね。

Git for Windows 2.5.3

Release Git for Windows 2.5.3 · git-for-windows/git

Windows 版 git が MSYS2 ベースになって，本家のアップデートに素早く対応できるようになったのはいいんだけど，アップデートのペースが速いよ。もうちょっとなんとかならんのん，これ。