2022年後半、新たな広告詐欺の手法「VASTFLUX」が発覚し、阻止されました。
詐欺グループは広告枠に悪意のあるコードを挿入し、ユーザーの目に見えない形で、複数の動画広告を重ねて非表示のまま再生させていました。
これにより、VASTFLUXは1日あたり実に120億回以上ものビッドリクエスト（入札要請）を行っていました。
VASTFLUXの仕組み
VASTFLUXという名前は、サイバー犯罪者が捜査の手からサーバーを守るために用いる技術「ファストフラックス（fast flux）」と、Interactive Advertising Bureau（IAB）が開発したデジタル動画広告配信用テンプレート「VAST」を掛け合わせたものです。
VASTFLUXは次の3つのステップで行われました。
VASTFLUXが広告枠のビッドに勝利すると、静止画バナーとともに、悪意のあるJavaScriptコードが広告枠に注入されます。
詐欺グループはこの悪意あるコードを使って指令サーバー（C&Cサーバー）と通信し、バナー画像の下に複数の動画プレーヤーを仕込みます。その際、複数のアプリIDやパブリッシャーIDを偽装していました。
それだけでなく、VASTFLUXは一定時間ごとに広告枠を自動で更新し、ユーザーの知らないところでさらに多くの動画広告をバックグラウンドで再生させていました。
VASTFLUXの詳しい仕組みについては、こちらの Wiredの記事（英語）をご覧ください。
さらに巧妙化した「アドスタッキング」
重要なのは、VASTFLUXが不正アプリやマルウェアに依存していなかった点です。詐欺グループはデジタル広告の仕組みを熟知しており、主にiOSデバイス上の「完全に正規のアプリ」を舞台に不正を行っていました。
これは、VASTFLUXがアプリやOSではなく、広告枠そのものを直接狙ったために可能となりました。
ユーザーには見えていないにもかかわらず、動画インプレッションごとに広告費が発生していました。1つの広告枠に最大25個もの動画広告が重ねて読み込まれることもありました。
ピーク時には1,700以上のアプリと120のパブリッシャーが偽装され、1,100万台ものデバイス上のアプリでこの不正が実行されていました。
VASTFLUXによる金銭的被害の全容は捜査が継続中のためまだ公表されていませんが、1日120億回というビッドリクエスト数から、これまでで最大規模の広告詐欺スキームであったと言えます。
広告詐欺からビジネスを守るために
VASTFLUXのような詐欺は決して珍しいものではありません。広告主は、偽サイトの作成、ボットによるクリック詐欺、あるいはVASTFLUXのような高度な手法によって、毎年何十億ドルもの広告予算を奪われています。
広告詐欺の検知・ブロックツールを導入し、大切な広告予算を守りましょう。fraud0では7日間の無料トライアルを提供しています。ぜひ効果を実感してください。 今すぐ無料でお試し！
