詐欺師（フラウドスター）は、さまざまな手口を使って詐欺行為を働きます。違法行為を隠し、自らの身元を隠蔽するために最もよく使われる手法の一つが「デバイススプーフィング（デバイス偽装）」です。
デバイススプーフィングとは、サイバー犯罪者がシステムやネットワーク、デバイスをだまして、自身のデバイスを「本物」と認識させる手法です。PCやスマートフォンなど、別のデバイスやユーザーになりすますために、デバイスの識別情報を変更します。
デバイススプーフィングは通常、フィッシング攻撃の実行、機密データやリソースへの不正アクセス、あるいはアドフラウド（広告詐欺）におけるセキュリティシステムからの検出回避やデジタルフィンガープリントの回避を目的に行われます。
この記事では、攻撃者が使用する手法、デバイススプーフィングの種類、そしてそれから身を守る方法など、デバイススプーフィングについて詳しく解説します。
デバイススプーフィングの仕組み
デバイススプーフィングは、以下のようなデバイス固有の識別情報を操作することで機能します。
MACアドレス（Media Access Control address）
デバイスのMACアドレスを変更し、ネットワーク上で信頼されたデバイスであるかのように見せかけます。IPアドレス（Internet Protocol address）
デバイスのIPアドレスを偽装し、ネットワークやシステムに正規のデバイスとして受け入れさせます。詐欺師はAmazon、Google、Microsoftなどの大規模データセンターを経由してボットを動かしますが、これらのIPアドレスはボット検知ソフトウェアにブロックされるため、IPアドレスを偽装して一般家庭のIPアドレスに見せかけることがよくあります。GPS（グローバル・ポジショニング・システム）位置情報
GPS信号を操作して虚偽の位置情報を提供し、位置情報サービスをだまします。偽のGPSデータを使用することで、地理的に制限された広告を表示させる手口もあります。User-Agent（ユーザーエージェント）文字列
ユーザーエージェント文字列を操作することで、特定のブラウザになりすまします。この手法は特にCTV（コネクテッドTV）広告詐欺でよく使われます。データセンターで動作するヘッドレス（画面のない）のChromeブラウザをボットとして使用し、CTVになりすますことで、より単価の高い動画広告を表示させます。発信者番号（Caller ID）
発信者番号情報を偽装し、実際の通話者の身元を隠します。デバイスの技術詳細
グラフィックボード情報、CPU情報、IMEI、AndroidやAppleの固有ID、OSのバージョンなど、デバイスのあらゆる技術的詳細を操作・偽装することもあります。
デバイススプーフィングはアドフラウドにどう悪用されるのか？
さまざまな偽装手段を用いることで、詐欺師は多くのセキュリティプロトコルを回避できます。例えば、多くの広告プラットフォームやオンラインサービスは、誰がサービスを利用しているか、あるいはウェブサイトを訪れているかを特定するために「デバイスフィンガープリント」を使用しています。
デバイスフィンガープリントは、ユーザーエージェント文字列、IPアドレス、デバイスハッシュ、クッキーハッシュなどの複数の要素を組み合わせて訪問者を特定する技術です。
また、特定のブラウザ、デバイスタイプ、あるいは特定の地域からの広告表示をブロックするためにも使用されます。
詐欺師は、デバイススプーフィングを使ってこのデバイスフィンガープリントを操作し、回避します。具体的には、以下のような目的で使用されます。
ボットを本物の人間のように見せる
対象地域外で広告を表示させ、より高い報酬を得る
ボットをCTVデバイスに偽装し、高単価な広告枠の報酬をだまし取る
近年、詐欺師はボットをCTVデバイスに偽装することで、高額な広告枠から莫大な利益を上げています。中にはスマート冷蔵庫をCTVデバイスに偽装するケースまであります。これらはすべて、デバイススプーフィングの手法と、それを可能にする幅広いソフトウェアによるものです。
デバイススプーフィングから身を守る方法
まず、良いお知らせです。fraud0のようなボット検知ソフトウェアを導入すれば、デバイススプーフィングから広告予算を守ることができます。
fraud0は、訪問者ごとにリアルタイムで数千もの要素を自動的に分析します。さらに、人工知能（AI）と機械学習（ML）を活用して、訪問者がウェブサイトやアプリとどのように対話しているかを学習し、偽装の試みを検知してブロックします。
そして、残念なお知らせです。このようなソフトウェアがなければ、デバイススプーフィング攻撃を検知することは不可能です。詐欺師の手口は巧妙で、使用されるボットは非常に高度です。分析データ上では、一見すると本物のデバイスからアクセスされているようにしか見えません。
