- Kitbogaとチームは、直接相手にするには多すぎる詐欺師を足止めするため、偽のBitcoin償還システムを作り、盗んだBitcoinを受け取れると信じ込ませた
- 罠は偽のギフトカードやATMレシートのコードとQRを餌に、CAPTCHA、ローディングバー、電話の待ち行列、カスタマーサポートメニュー、画像認証、迷路を順番に通過させるもの
- 数か月の間に数百人が引っかかり、累計60日・1,440時間を消費させ、ある詐欺師は5日以上使い、別の詐欺師は40日連続で接続した
- 詐欺師たちが実際のウォレットアドレスを入力したことで、数十万ドルが出入りしたウォレットも明らかになり、Krakenの詐欺対策チームとともに280 BTC以上が通過したウォレットを調査した
- いたずらのように始めたツールが実際の被害者支援につながり、6年間詐欺に遭っていた高齢女性と、米国内の数十人の被害者が支援を受けられるようになった
詐欺師を足止めする偽のBitcoinシステム
- Kitbogaは、YouTubeコメント、電話、自分になりすます詐欺師まであまりに多く、直接対応するのは難しいと考え、チームとともに詐欺師を継続的に足止めする自動化された罠を作った
- 詐欺師に偽のBitcoinギフトカードやレシートを渡すと、コードを入力すれば簡単に償還できると信じ込む
- 実際のWebサイトはBitcoinテーマの偽プラットフォームで、すべてのやり取りを記録する
- どのサポートチケットを開こうとしているか
- どのCAPTCHAを解いているか
- どのローディングバーを待っているか
- どの電話手続きを通過しようとしているか
- 詐欺師は最後までBitcoinを受け取ることはできず、そもそもそのBitcoinも存在しない
時間を奪うCAPTCHA、ローディングバー、電話の待ち行列
- 最初の障害の一つは、AI生成画像ベースの偽CAPTCHAで、正解かどうかは50%の確率のように動作する
- ナッツの数、波の高さ、最も速い車、サイコロの目といった自由回答の質問が出る
- 詐欺師たちは「uncountable」「32 ft」「beam balance」「8」「1,232」「1,322」などの答えを入力した
- CAPTCHAの間には意図的に長いローディングバーを入れ、オンラインダッシュボードに到達する前から10〜15分を簡単に無駄にさせる
- ウォレットアドレスを入力すると毎回エラーになり、カスタマーサポートへの電話に誘導される
- 電話メニューはoption fiveのような入力を何度も理解できない
- 待ち行列は10〜19分、13人待ちといったメッセージを出すが、実際のオペレーターはいない
- 待機中には「colorful comrade」「buttered bicycle」「purple pig」のような言葉を復唱させ、通話者が聞き続けているか確認する
- 待機の最後には複数の偽の結末が続く
- オペレーターが出たように見えるが、誰も応答しない
- メールサポートに案内するが、アドレスを聞き取りにくくする
- 録音されたオペレーターが確認とキャンセルを紛らわしくし、通話を終了する
- ボイスメールにつながるが、メールボックスがいっぱいでメッセージを残せない
画像認証と、ほぼ不可能な迷路
- 最近は、詐欺師に人間であることを確認するとして絵を描かせるようになった
- 帽子をかぶったヘビ、キューブ、ネズミ、バーベルを持ち上げるカラス、ロボットのような画像をなぞって描かせる
- 正解かどうかは50%の確率で決まる
- ある詐欺師は、人間認証を完了するのは文字通り不可能だとメッセージを送った
- セキュリティ用のpassphraseを作るにはランダムなエントロピーが必要だという設定を付け、そのために迷路を完了させる
- Kitboga自身も約10分間試したが完了できないほど難しい迷路だった
- ある詐欺師は迷路を127回試して完了したが、その後またリセットされ、最初からやり直す必要があった
- 一部の詐欺師には、出金のためにスマートフォンを機内モードに切り替えるよう案内する
- 機内モードに切り替えると通話が切れる
- ある詐欺師は10からカウントダウンしている途中で通話が切れた
無駄にさせた時間と実際の詐欺ウォレット調査
- 数か月の間、システムは数百人の詐欺師を足止めし、累計60日、つまり1,440時間を消費させた
- ある詐欺師は偽のBitcoinを受け取れると信じ、5日以上サイトを使った
- さらに別の詐欺師は40日連続でWebサイトに接続した
- システムを信用した詐欺師たちが、実際に価値のあるウォレットアドレスを入力することもあった
- 一部のウォレットには数十万ドルが出入りした記録があった
- Krakenの詐欺対策チームと協力してウォレットを調査し、ブロックの可能性を確認した
- 妨害・通報した詐欺で、一部のウォレットを経由したBitcoinは280 BTC以上にのぼる
- Krakenチームはツール構築を支援し、詐欺ウォレットと詐欺師の調査を手助けするパートナーとして参加した
いたずらから被害者支援につながった結果
- ある日、Krakenのサポートチームは、誰かが「Bitcoin stock」について問い合わせており、混乱しているようだとKitbogaに知らせた
- その女性はKrakenにKitbogaのメールアドレスとユーザー名を伝え、その後、詐欺師が彼女に偽のBitcoinホットラインへ電話させたことでつながりができた
- この女性は6年間詐欺に遭っていた高齢の被害者で、Kitboga側は状況を説明したうえで、必要な支援を受けられるよう案内した
- その後、米国内の数十人の被害者がこのシステムに電話をかけ、詐欺の状況について説明を受けたうえで、地域で必要な人たちにつながった
- 当初は詐欺師の時間を無駄にする面白いアイデアだったが、実際のウォレット調査と被害者支援にまでつながるプロジェクトになった
1件のコメント
Hacker Newsのコメント
長い待機列をようやく待ち抜いてつながったのに、「メールボックスがいっぱいです」という自動応答に回される場面があまりにも現実的だった
意図的に作られた仕掛けだとは分かっているが、最近実際に重要な政府システムでまったく同じ目に遭った
California EDDに電話して州の有給家族休暇の未払い分を受け取ろうとしたが、オンラインでは処理する方法がなく、必ず電話しなければならなかった
1時間待ったあと呼び出し音が鳴り、留守番電話に回され、メールボックスが満杯だと言われて切れたことが2回あり、そもそも待機列に入れる機会自体も100回に1回くらいで、本当に気が狂いそうだった
たいていはその言語の利用者数に対して相談員が多めに配置されていて比率が良く、記憶ではベトナム語の番号が一番良かったが、今は違うかもしれない
言語が分からないと自動応答メニューを通過するのは難しいが、人にさえつながれば担当者はバイリンガルで、英語も完全に流暢だった
ひたすら担当者を求めると切られてしまい、安定して人間につながる唯一の方法は「アカウントを解約したいので担当者と話したい」と言うことだった
これからLLMやより高度なAIが導入され始めたら、本当に人間と通話するのが不可能になるのではないかと怖い
パンデミック解雇のせいで受け取るべき失業給付がまだ数千ドル残っているが、似たようなことを経験して結局あきらめた
友人を通じてKitのことを知っていて、一度Magic: The Gatheringも一緒にやったことがある
配信でのペルソナと実際の性格に違いがなく、この仕事のために生まれてきたような人で、本当にいい人だったし、妻と子どもたちも素敵だった
もともとはWeb開発者として始めていて、偽の銀行サイトはすべて自分で作ったものだ
フィッシング犯を捕まえるために、逆説的にフィッシングの手法を使うとても賢い仕事だ
Kitbogaの動画が好きだ
見るたびに、詐欺師たちがどれほど傲慢で尊大で、自分たちに酔っているかに驚かされる
自分たちはものすごく賢いと本気で信じていて、通話中の高齢者をあざ笑うことにも何のためらいもない
Kitbogaが良い戦いをしてくれて感謝しているし、Kitbogaが通報した口座を銀行や暗号資産取引所が即座に凍結するのを見るのも気持ちがいい
「西側諸国が途上国から盗んできたのだから、自分たちは取り返しているだけだ」とか、「この間抜けはどうせ誰かにやられるのだから、自分が盗んでも構わない」といった具合に、自分を正当化する必要があるのだと思う
ただ、鶏が先か卵が先かは分からないし、そもそもこういう詐欺コールセンターの仕事に引き寄せられる人間が、もともとそういうクズなのかもしれない
逆に、ごく普通の人でもそうしたコールセンターに入れば、Stanford Prison Experimentのような状況に置かれて簡単に操られるのかもしれない
それ以来電話を取ったら、少なくとも別の1人をだませないよう、できるだけ長く引き留めるようにしている
3人を十分長く引き延ばして、「なぜ貧しいおばあさんをだますんだ？」と尋ねたところ、3人とも同じ答えだった
「西洋人は金持ちで、そんな連中はその目に遭って当然だ」
人は全体として自信たっぷりに話す人により従いやすいので、詐欺師が成功率を上げるには確信に満ちた声を出す必要がある
詐欺師は、相手に自分の能力を疑わせないようにし、その代わり相手が自分の判断をずっと疑い続けるようにしたいのだ
最も脆弱な被害者はそうしたやり方に反応する
慎重で親切だったなら、その通話はおそらく「銀行に確認してからまたご連絡します。ありがとうございます」で終わっていただろう
最後のどんでん返しは、いろいろな意味で見事だった
Kitbogaがまったくの偶然で、長期にわたる詐欺から誰かを直接救い出し、さらに被害者を助ける新しい手法を偶然見つけたのかもしれない
詐欺師に被害者へKitbogaの番号を渡させるよう誘導すれば、彼が被害者を直接助けられる
Kitbogaとチームは、だまされる側を演じていたのではなかったか？
あの女性がビットコインのレシートやQRコードとどう関係していたのか分からない
みんな笑っているけれど、OpenAIアカウントにログインしようとして 不可能なCAPTCHA に遭遇したことがある。
月20ドル払っているアカウントなのに、パズルを80回もクリックしなければならず、1回でも間違えると最初からやり直しになる。
まったく笑えなかったので購読を解約したし、どうせPhindのほうが速くて品質もいい。
ここではみんな面白がっているけれど、私には毎日付き合わされるインターネット体験を作っている人たちの努力が見えるだけだ。
AIチームとCAPTCHAチームには本当によくお似合いだと思う /皮肉
月20ドルのサブスク料金を払っているのに、長大なパズルの行列を出されるのはかなりばかげている。
ときには難しすぎるパズルを大量に解かされて、ただ諦めるしかなく、別の日には少ししか出ないことを願うようになる。
すぐ使えてSEOのゴミ置き場を避けるために契約したのに、結局は今でも時間を失っていて、モデル学習のための無償労働を金を払って提供しているようなものだ。
異常だったなら、たいていはすぐ偽物だと気づいたはずだ。
写真の中のナッツの数を数えろというのは少しやりすぎだが、今ではひどいCAPTCHAに慣れすぎていて、それっぽく感じてしまう。
電話メニューも同じだ。
数分もくれれば、ChatGPTにそれを処理するスクリプトを書かせられるはずだ。
半年間でプロンプトは10個も使っていないのに、毎回「システムで不審なアクティビティが検出されました。後でもう一度お試しください」としか返ってこなかった。
サブスクかどうかに関係なく、珍しい問題でもないようだ。
以前、認知症の高齢者のふりをしていた 詐欺師対応電話ボット を覚えている人はいるだろうか。
名前は「Lemmy」だった気がするが、詐欺師が話し終えるのを待ってから質問や長い支離滅裂な話を投げていた。
面白いうえに会話をずっと続けられるよう非常に巧妙に作られていて、何時間も引き延ばしたあと、繰り返しが始まると詐欺師がキレることがあった。
この見事な詐欺より少し賢かった点は、会話の流れがとても自然だったことと、詐欺師は機会さえあれば話したがるという性質を利用していたことだ。
次のバージョンのアイデアとして良さそうだ。
https://en.wikipedia.org/wiki/Lenny_(bot)
https://www.youtube.com/watch?v=XSoOrlh5i1k
https://www.reddit.com/r/itslenny/comments/5lcfwq/lennys_his...
映画 "Sorry to Bother You" も強くおすすめする。
https://en.wikipedia.org/wiki/Sorry_to_Bother_You
SORRY TO BOTHER YOU | Official Trailer:
https://www.youtube.com/watch?v=enH3xA4mYcY
LaKeith StanfieldがCashを演じ、David CrossがCashの「white voice」を演じている。
The Art Of The White Voice by David Cross and Patton Oswalt (Sorry to Bother You):
https://www.youtube.com/watch?v=XxZt3sD3rzo
Watch Lakeith Stanfield Use His ‘White Voice’ in ‘Sorry to Bother You’ | Anatomy of a Scene:
https://www.youtube.com/watch?v=PY9RQFX28j0
今は上級管理職なので本人と結びつけられるのを好まないようだが、XXXXビールが何杯か入るといろいろな話をしてくれる。
本当に悲しいのは、こういうことのかなりの部分を「本物の」会社に電話したときでも定期的に経験することだ。
音声はわざと、プロペラ機の中でトランシーバーを聞いているようなレベルまで低品質にされていて、ひどい保留音楽は最大音量のうえにダウンサンプリングと音量ブーストまでかかっていて物理的に痛く、ランダムに切断され、たらい回しのループまで発生する。
そしてこうしたことはすべて、その会社で一日中働いている気の毒な相談員に対して、礼儀正しく辛抱強く接していても起きる。
最後の部分が理解できなかった。
Krakenの詐欺対策チームが、詐欺被害者だと見ていながら連絡が取れずにいた人物が、彼のGauntletに電話してきたことを知り、その後その女性と、Gauntletに入ってきたほかの被害者たちを助けられるようになった、という話。
Kitbogaとチームが標的役を演じ、偽のQRコードを詐欺師に送るのが全体の流れだと思っていた。
苛立たせている相手の一部が、詐欺師に操られている無実の人だとしたら、道徳的な計算はもっと複雑になる。
これに対する確かな答えがあるなら2の懸念は和らぐだろうが、自動化システムの有用性を損なうほど労働集約的な方法でない限り、信じがたい。
全体として動画は面白かったし、自動音声応答ツリーの体験を思えばあまりにリアルで笑えたが、彼のやっていることを全面的に支持するには上の点が引っかかる。
このシステムでよく起きそうなことは、CAPTCHAを回避しようとするボットソフトウェアがやっていた手口にかなり似ているように見える。
暮らし向きの厳しい人たちを雇って解かせることもあり得る。
動画は面白かったが、詐欺師であれ被害者であれ、こうした「呪われた人たち」の一人にならざるを得ない環境に生まれなかったという点で、自分がどれほど特権的な立場にいるかもはっきり意識させられる。
https://youtu.be/tzXRb8PdmJo
結局のところ、こうした詐欺師たちは捕食者であり、動画に出てくる人々は氷山の一角にすぎず、裕福な西側諸国の人々を狙った詐欺は数十億ドル規模の産業だ。
しかし同時に、彼らもまた世界資本主義と植民地主義の非対称な報酬構造の被害者であり、さらに具体的に言えば、多くの人が人身売買の被害者としてこうした詐欺を強いられている。
https://www.csis.org/analysis/cyber-scamming-new-destination...
さっきKitbogaのサイトを読んだら「暗い状況を少し軽くする」と書かれていて、かなり的確な要約だと思った。
Scammers vs Impossible Password Gameもおすすめ。
[1] https://www.youtube.com/watch?v=knhQ2f8anT8
信じられない。
肺が飛び出るほど笑いそうになった。
「なんでそれを使っちゃったんですか？！」
KitbogaはYouTubeの国宝だ。
たいていは映画のセリフだが、今ではある詐欺師が叫んだ「なんでそんなことをしたんですか?!?!?!」が頭に焼き付いている。
特定の位置の数字が、偽のGoogle Playストアでそのユーザーの使用金額を知らせる仕組みだった。