自称「アド詐欺の帝王」ことアレクサンドル・ジュコフは11月10日、禁錮10年の実刑判決を受け、380万ドル以上の追徴金の支払いを命じられました。
「（ジュコフは）電信詐欺共謀、電信詐欺、マネーロンダリング共謀、およびマネーロンダリングの罪で、ブルックリンの連邦陪審により有罪判決を受けました。この起訴は、米国のデジタル広告業界におけるブランド、広告プラットフォームなどから700万ドル以上をだまし取った、ジュコフの巧妙な詐欺スキームに起因するものです。」 （司法省）
司法省によると、2014年9月から2016年12月にかけて、アレクサンドル・ジュコフと同謀者らは「Media Methane」と呼ばれる架空の広告ネットワークを通じてデジタル広告詐欺を行っていました。これが「Methbot」と呼ばれる理由です。
Methbotの仕組み
Methbotの技術的な仕組みを掘り下げる前に、このスキームの規模と、なぜこれが史上最大のアド詐欺の1つとなったのかを理解することが重要です。
ピーク時には、65万以上の住宅用IPアドレスと2,000台以上のサーバーを使い、1日あたり2億から4億回もの動画広告再生が偽装されていました。動画広告のCPM（1,000回表示あたりの単価）が3ドルから36ドルと比較的高額だったため、このスキームにより1日あたり300万から500万ドルの広告収入を得ていたと推定されています。Methbotは、6,000以上のドメインと25万以上のURLを偽装し、プライベートマーケットプレイス（PMP）を含む高価値な市場を標的にしていました。
簡単に言うと、Methbotは本物の広告主や広告ネットワークからの本物の広告を、偽装・なりすましウェブサイトを介して、存在しない偽のユーザー（ボット）に配信していました。使用されたボットは非常に巧妙で、偽のブラウザで偽装ドメインにアクセスし、マウスを動かす、ページをスクロールする、動画プレイヤーを途中で再生・停止する、Facebookにログインしているように見せかけるなど、本物のユーザーであるかのように動作していました（司法省）。
全体的な戦略が分かったところで、Methbotが使用した具体的な技術的メカニズムをいくつか見てみましょう。
分散型サーバー
Methbotは、テキサス州ダラスとオランダのアムステルダムのデータセンターにある2,000台以上の物理サーバーを使用していました。各サーバーは、IPアドレスを隠装するために、Methbotブラウザコンポーネントの複数のインスタンスとプロキシを実行していました。
大量の住宅用IPアドレスを持つプロキシネットワーク
データセンターから実行されるアド詐欺は、通常、IPアドレスなどの理由から容易に検出されます。そのため、多くの場合はマルウェアを使って個人用PCを感染させます。感染したボットネットは、被害者が気づかないうちにそのデバイスのIPアドレスを使い、バックグラウンドで偽のブラウザセッションを実行します。しかし、セキュリティソフトが感染を検知して駆除するため、常に新しいPCを感染させ続ける必要があり、維持に多大な労力がかかります。
Methbotの運営者は異なるアプローチを取りました。偽の登録情報で65万以上の異なる住宅用IPアドレスをレンタルし、ボットがあたかもVerizon、Comcast、AT&Tなどの合法的なプロバイダ（ISP）を利用する本米国のインターネットユーザーであるかのように見せかけたのです。
オープンソースを利用した高度な技術スタック
Methbotの独自ソフトウェアは、必要な機能を実装するためにいくつかのオープンソースライブラリを使用していました。
JSコードを実行するための基盤としてNode.jsを使用。
Facebookログインなどの永続的なIDを維持しながら、偽のセッションでクッキーを設定するためにtough-cookieを使用。これは主に、ターゲティング精度が高い情報ほど広告主にとって価値が高くなるため、より高いCPMを獲得する目的で使用されました。
HTMLを解析し、データ構造を操作するためにcheerioを使用。
動画広告をリクエストし、プログラムで動画プレイヤーを制御するためにJWPlayerを使用。
本物のブラウザのシミュレーション
住宅用IPアドレスを介してボットトラフィックをプロキシするだけでなく、Methbotは様々な方法で本物のブラウザをシミュレートできました。
ユーザーエージェント: User Agent文字列を偽装し、Chrome、Firefox、Internet Explorer 11、Safariなどの異なるブラウザになりすますことができました。
OS: OSすらも偽装し、Windowsや様々なバージョンのmacOSからのアクセスであるかのように見せかけました。
画面情報: ブラウザの幅や高さ、カラー深度、ピクセル深度、画面サイズなどのハードウェア関連情報も偽装していました。
ブラウザ拡張機能: 開発者は、様々なブラウザ拡張機能から得られる情報まで追加していました。
人間の動作のシミュレーション: ランダムなタイマーを実装してウェブサイトへのクリックをシミュレートし、動画プレイヤー自体もクリックすることで、クリック検証システムを欺いていました。
高単価CPMを狙ったプレミアムサイトの偽装
より高いCPMを得るため、Methbotは動画広告リクエスト時のURLを偽装し、プレミアムなパブリッシャーサイトになりすましました。その手順は以下の3ステップです。
偽のウェブサイト: プレミアムパブリッシャー（例：vogue.com、espn.com、foxnews.com）のリストからURLを選択。動画広告の配信に必要な要素だけで構成された偽のウェブサイトを作成します。
入札の獲得: 業界標準のVAST（Video Ad Serving Template）プロトコルを使用し、独自の識別子を使って広告ネットワークから動画広告をリクエストします。
偽トラフィックによる表示とクリックの生成: プロキシ経由の住宅用IPからボットが偽サイトにアクセスし、本物の人間が動画広告を見ているかのように再生します。さらに、広告ネットワークがアド詐欺対策や視認性検証のために導入しているコードを読み込み、偽のシグナルを送り込んで騙していました。
要するに、Methbotの作成者は、完璧なボットネットを作り上げるためにあらゆる手を尽くしていました。それだけでなく、広く使われているアド詐欺検出ツールのロジックをリバースエンジニアリングし、検知をすり抜ける対策まで施していたのです。
Methbot — 史上最大かつ最も巧妙なアド詐欺
もうお分かりのように、Methbotは史上最大かつ最も洗練されたアド詐欺スキームの1つでした。数千台のサーバーと数十万のIPアドレスを駆使し、既存の不正防止システムをすり抜ける技術は、今日でも極めて異例です。
この規模はすさまじく、当社の「過去5年間におけるアド詐欺の最大事例リスト」にも当然ランクインしています。
Methbotのようなボットネットからビジネスを守るため、まずは当社の無料トライアルに登録し、広告トラフィックの品質をチェックしてみませんか？
