Androidの偽アプリを使った新たな広告詐欺、広告主にもユーザーにも大迷惑な手口とは？：IASの報告を受けてGoogleも対応

疑いを持たないユーザーと広告ネットワークを巧みに悪用する、高度に組織化された広告詐欺スキームが発見された。

[ITmedia マーケティング]

　広告検証大手のIntegral Ad Science（以下、IAS）でアドフラウド（広告不正）をはじめとす脅威について研究する専門チームThreat Labは、新たな広告詐欺スキームに関するレポートを発表した。

　「ベイパー」というコードネームで呼ばれるこの新たな不正行為は、「Google Playストア」で偽のAndroid アプリをダウンロードさせて動画広告をひたすら表示させ、広告費を稼ぐことだけを目的としている。

新たな広告詐欺「ベイパー」の手口

　ベイパーは日本語で「蒸気」を意味する。この名は邪魔な広告だけが残り、本来期待されたアプリの機能が蒸気のように消えてしまっていることに由来している。

　偽アプリはQRコードスキャナー、パスワードマネージャー、懐中電灯などのユーティリティー系、心拍数モニターや水分摂取トラッカー、体重管理アプリなどの健康・フィットネス系、メモ帳、モチベーション向上のための名言アプリなどのライフスタイル系といった、一般的に信頼性の高いカテゴリに紛れ込むように作られている。何も知らないユーザーは偽アプリと知らず自らのデバイスにインストールしてしまうのだ。

Google Play ストアで公開されていたベイパーアプリの一例（出典：IAS「VAPOR THREAT REPORT」、以下同）

　インストールされたベイパーアプリはセットアップが完了するとすぐに全画面のインタースティシャル広告（ページ遷移時に独立したページとして表示される広告）を大量に表示する。ユーザーはアプリを操作できず、事実上デバイスが乗っ取られた形になる。

　Threat Labは2024年初頭から2025年2月までにベイパーに加担したアプリIDは180以上、ダウンロード数は5600万回以上と推定している。これらにより不正に生成された広告入札リクエストは1日当たり2億回以上にも上る。

　ベイパーの運営者たちは、複数の開発者アカウントを作成し、それぞれのアカウントから少数のアプリをホスティングすることでオペレーションを分散させ、検知を回避していた。こうすることで1つのアカウントが閉鎖されても全体への影響を最小限に抑えることができるからだ。彼らはアプリ内に多数の広告SDKを組み込み、対応するセラーアカウントを設定して不正なトラフィックを収益化していた。

　不正操作のスキームは開始直後にプラットフォームからアプリが削除されたことで、すぐに中断。その後は同年第3四半期に再び増加し、追加の削除措置によって、ダウンロード数は再び減少した。しかし、その後ホリデーシーズンに向けて多額の広告費が投下される間に驚異的なスピードでまん延した。

　IASの調査と2025年2月初旬のGoogleへの情報共有の結果、GoogleはIASが特定した全アプリをPlayストアから削除した。また、Google Play Protectは、これらのアプリがGoogle Play 以外からインストールされた場合にユーザーに警告し、アプリを自動的に無効化する措置を講じている。この措置により、ベイパーアプリのダウンロード数は急減した。

ベイパーの成長と撲滅のタイムライン

　IASは引き続き監視を続けている。