Google Playストアからアプリをダウンロードするとき、多くの人はある程度の安全性を期待しているはずです。Googleによって審査された公式ストアであり、私たちのデジタルライフを支えるツールが集まる場所だからです。しかし、新たに発覚したアドフラウド（広告詐欺）キャンペーン「SlopAds」は、Playストアでさえ高度な詐欺と無縁ではないことを浮き彫りにしました。
Satori Threat Intelligenceのセキュリティ研究チームは、Googleの防御網をかいくぐり、累計3,800万回以上もダウンロードされた224個の不正アプリのネットワークを発見しました。一見すると無害なアプリですが、裏ではスマートフォンをバックグラウンドで広告をクリックし続けるマシンへと変貌させ、バッテリーを消耗させ、動作を重くし、密かに何十億もの不正な広告リクエストを生成していました。
ここでは、SlopAdsがこれほど巧妙に潜伏できた4つの手口を紹介します。
1. アプリの入手ルートを検知して挙動を変える
最も巧妙な手口の一つが、アプリ自体のインストール経路を検出する機能です。通常は広告の効果測定に使われるモバイルマーケティングアトリビューションプラットフォームを悪用し、Playストアの検索から入った（オーガニック）か、怪しい広告経由（ノンオーガニック）かを判別していました。
検索経由でインストールされた場合、アプリは完全に正常な動作をします。これにより、Googleのセキュリティチェックをパスし、研究者の目をごまかしていました。一方で、不正な広告経由でインストールされた場合はスイッチが入り、詐欺に必要なツールのダウンロードを開始して不正な機能を有効化させていました。
この使い分けにより、アプリは監視の目をかいくぐり続けました。マーケティング技術を悪用した極めて巧妙な手口です。
2. 不正なコードを画像ファイルの中に隠す
SlopAdsは、一見無害なデータのなかに情報を隠す「ステガノグラフィー」という手法も使っていました。アプリが起動すると、C2（指令）サーバーに接続し、普通のPNG画像にしか見えない4つのファイルをダウンロードします。
しかし、それらの画像の中には暗号化された不正なコードが隠されていました。アプリはこれらをつなぎ合わせて「FatModule」と呼ばれるAPKファイルを作成し、アドフラウドを実行するためのプログラムを完成させます。ユーザーには通常のアプリが動いているようにしか見えません。
3. AIをテーマにしたキャンペーン構造
研究者がこの活動を「SlopAds」と名付けたのには2つの理由があります。アプリが「AIで量産された低品質なコンテンツ（AI Slop）」のようだったこと、そして詐欺のインフラ構築にAIのテーマが多用されていたことです。
C2サーバーの調査から、攻撃者が人気のあるAIサービスの模倣版をホストしていることが判明しました。また、同じドメインでAIツールをトレーニングしていた形跡も見つかっています。このAIが不正行為に直接使われたかは不明ですが、サイバー犯罪者が一般企業と同じようにAIの活用を模索している現実を示しています。
4. スマホを勝手に使い、何十億もの不正広告リクエストを生成
FatModuleが仕込まれると、詐欺システムが本格的に稼働します。アプリはバックグラウンドで「WebView」（非表示の小さなブラウザウィンドウ）を作成し、密かに広告ページを開きます。
トラフィックを本物に見せかけるため、何重ものリダイレクトを繰り返し、アクセス元のデータを消去します。この活動がピークに達したときには、1日に23億件という膨大な数の不正広告リクエストが生成されていました。
その結果、ユーザーのスマートフォンは動作が重くなり、バッテリーを消費し、通信速度が低下するという実害を被ることになります。すべては大規模なアドフラウドの踏み台にされていたためです。
被害を防ぐための対策
Googleはすでに対象のアプリを削除していますが、SlopAdsの規模と巧妙さは、私たちが常に警戒を怠ってはならないことを示しています。これは個人ユーザーだけでなく、広告主にとっても同様です。
Androidユーザー向けの対策
アプリの権限を確認する：アプリが必要以上の権限を求めていないか確認しましょう。例えば、懐中電灯アプリが連絡先へのアクセスを求める場合は要注意です。
開発元を調べる：アプリの制作者を確認してください。詐欺グループはしばしば大手パブリッシャーを模倣します。
不要なアプリは削除する：アプリの数が少なければ、それだけリスクも減ります。
OSを常に最新にする：アップデートには、こうした手口を防ぐセキュリティパッチが含まれています。
モバイル用セキュリティソフトを使う：PCと同様に、スマートフォンにも保護対策が必要です。
広告主向けの対策
配信先を監査する：広告が不審なアプリやサイトに掲載されていないか、定期的に配信先を確認しましょう。
不正検出ツールを導入する：無効なトラフィック（IVT）を検知し、ボットによるインプレッションを排除できるソリューションを活用しましょう。
異常なパターンを監視する：見慣れないアプリや地域からのインプレッションやクリックの急増は、不正のサインです。
信頼できるパートナーと連携する：透明性の高いネットワークを選び、掲載面レベルでのレポート提示を求めましょう。
自主検証を行う：プラットフォームの検知力だけに頼らず、独自の検証を重ねて安全網を強化しましょう。
最後に
SlopAdsキャンペーンは、モバイル詐欺がどれほど巧妙化し、執拗になっているかを示しています。今回の調査では、この活動に関連する300以上のプロモーション用ドメインも見つかっており、発見された224個のアプリは氷山の一角にすぎない可能性があります。
詐欺の手口が進化し続ける今、「安全なアプリ」の基準も変わりつつあります。Playストアは強力な防波堤ですが、万全ではありません。自分のスマートフォンがアドフラウドの道具にされないよう、常に警戒心を持ち、セキュリティ対策を意識することが重要です。
