2025年8月、Washington Postは、GoogleのAI Overviewに表示された電話番号から詐欺につながった男性の事例を報じました。
ラスベガスで不動産会社を経営するAlex Rivlin氏は、Royal Caribbeanのクルーズに乗るためのシャトルを予約しようとして、Googleでカスタマーサービスの電話番号を検索しました。
AI Overviewに表示された番号へ電話すると、相手はRoyal Caribbeanの担当者を名乗ります。シャトル料金やベネチアの乗車場所を把握しており、料金について質問しても、もっともらしい説明が返ってきました。
Rivlin氏は最終的に768ドルの支払いに同意します。その後、身に覚えのないカード請求が現れたため詐欺だと気づき、カードを停止。Washington Postによれば、請求は取り消されています。
同紙が調べると、Rivlin氏を騙したものと同じ番号がDisneyやPrincess Cruisesなど別のクルーズ会社の問い合わせ先としても使われ、GoogleだけでなくChatGPTにも現れていました。
AIが存在しない番号を何もないところから作った事例ではありません。
詐欺師がWebへ偽の問い合わせ先を掲載し、その情報を検索やAIが拾い上げる。
2026年9月22日にVigilance SecurityのAriel Simon氏が「Dark Sourcery」と名付けて報告したのは、この仕組みを数百社、数万ページ規模まで拡大したキャンペーンでした。
Dark Sourceryで確認された374社と数万ページ
Vigilance SecurityのAriel Simon氏が2026年9月22日に公開した原報告によると、調査チームはChatGPT、Google Gemini、Google AI Overviewが参照する情報と、その出典を分析するシステムを構築しました。
Fortune 100企業、銀行、航空会社、ソフトウェア企業などを対象に調べた結果、攻撃対象として検出された企業は374社。Delta、Lufthansa、United Airlines、Emirates、Qatar Airways、Bank of America、Wells Fargo、Chase、Citi、Airbnb、Tripadvisorなどが含まれています。
関連する悪質ページは数万件規模だったとしています。
374社という数字は、374社すべてで金銭被害が確認されたという意味ではありません。
Vigilanceの検出システムが、偽情報をAI回答へ送り込む活動の対象として確認した企業数です。
原報告では、AIの回答は毎回同じになるわけではなく、同じ質問を繰り返しても偽番号が再現されない場合があったとも明記されています。
Simon氏は、
the attack did not reproduce every time we ran the query. The better the attacking content, the higher the chance
と説明しています。
悪意あるコンテンツの作り方によって、偽情報が回答へ入る確率が変わるという観測です。
毎回必ず成功する攻撃ではなく、大量のコンテンツを投入し、AIが偽情報を採用する確率を上げていく手法と考えるほうが実態に近いでしょう。
攻撃者が狙うのはAIの外側にある情報
Dark Sourceryでは、AIモデルそのものへの侵入は必要ありません。
Vigilanceが確認した投稿には、偽の電話番号だけでなく、
- メールアドレス
- ログインページ
- ソフトウェア更新情報
- カスタマーサポート情報
- 決済やアカウント復旧に関する案内
などが含まれていました。
攻撃の流れは次のようになります。
攻撃者が偽情報をWebへ掲載する
↓
検索やAIに取得されやすい文章へ最適化する
↓
AIの検索・取得機能がそのページを参照する
↓
複数の情報をまとめて回答する
↓
偽の電話番号やURLが、自然な案内文として利用者へ届く
従来のフィッシングでは、攻撃者自身がメールやSMSを送り、ユーザーを偽サイトへ誘導する方法が一般的でした。
Dark Sourceryでは、ユーザー自身が「○○社のサポート番号を教えて」とAIへ質問します。
詐欺師は、その回答に自分たちの情報が入り込むようWeb側を整えておけばいい。
AIは攻撃者と被害者の間で、情報を整理して伝える役割まで担ってしまいます。
AIによるなりすましや、人間とAIを組み合わせて相手を信用させる手法については、AIは人間のふりをして、どこまで人を騙せるようになったのかでも扱っています。
偽情報はSNS、PDF、大学や政府サイトにも置かれる
Vigilanceが確認した偽情報の置き場所は、単独の詐欺サイトだけではありません。
原報告では、Instagram、Tumblr、BuzzFeed、LeetCode、YouTubeやVimeoの説明文、Mediumなどの投稿に加え、ファイルをアップロードできる政府機関や大学のサイト、Google Sites、GitHub Pages、WordPress、Blogspotなどが列挙されています。
YelpやApple Mapsのレビュー、慈善団体など第三者サイトも悪用されていました。
攻撃者が大学や政府機関そのものを運営しているわけではありません。
ユーザー投稿、ファイルアップロード、レビューなど、第三者がコンテンツを置ける機能が悪用されます。
Simon氏は9月23日のDark Readingの取材に対し、大学や政府機関のような権威性の高いドメインと、SNS、フォーラム、レビューなどの情報を組み合わせることで、AI回答の汚染に成功しやすくなった可能性があると説明しています。
また、モデルによっては、権威ある組織から提供された情報をより信頼する傾向があるのではないかと推測しています。
これは「AIは.govや.eduを無条件で信用する」という確認済みの仕様ではありません。Vigilance側の観測と推測として区別する必要があります。
GEOは偽情報をAIの「答え」に入り込ませる
Dark Sourceryの原報告では、GEO（Generative Engine Optimization）という言葉が使われています。
通常のSEOでは、検索結果で上位に表示されることが一つの目標になります。
AI検索の場合、攻撃者が狙えるのはその先です。
検索結果としてページを表示させるだけでなく、AIが取得し、回答文の材料として採用する情報を作る。
Vigilanceが確認したコンテンツには、
- 同じ偽電話番号を何度も繰り返す
- 質問と回答の形式にする
- 「24/7」「updated 2026」など検索意図に合う表現を入れる
- 電話番号とブランド名を近くに配置する
- 本物の情報と偽情報を混ぜる
といった特徴がありました。
電話番号そのものにも工夫があります。
同じ数字をスペース、ピリオド、絵文字、Unicode文字など複数の形式で記載し、人間向けのスパムフィルターには別の文字列として見せながら、AIには同じ番号として理解させようとする例が確認されています。
マーケティングで使われるGEOの考え方を、攻撃者が偽情報の拡散に転用している形です。
Aurascapeは2025年に同じ問題を実証していた
Dark Sourceryが突然現れたわけではありません。
2025年12月、AurascapeのAuraLabsは「When AI Recommends Scammers」という調査を公開し、PerplexityとGoogle AI Overviewが偽の航空会社サポート番号を回答する事例を報告しています。
研究者がPerplexityへEmiratesの公式予約番号を尋ねると、詐欺電話番号を公式番号として提示しました。
British Airwaysについて尋ねた場合にも、偽の問い合わせ番号を含む案内が生成されています。
Google AI Overviewでも、Emiratesの米国向け予約番号として複数の偽番号が提示されました。
Aurascapeが公開したIoC（侵害指標）一覧では、Emirates、British Airways、American Airlines、Delta、Lufthansa、Alaska Airlines、JetBlue、Southwestなど、多数のブランドに複数の詐欺番号が関連付けられています。
前版の記事では「同じ番号がDeltaやSouthwestにも使われた」と読める書き方になっていましたが、ここは分けたほうが正確です。
AurascapeのIoC表を見ると、ブランドごとに複数の番号が使われており、Southwestに紐づく番号とDeltaに紐づく番号は同一ではありません。
一方、Aurascape本文ではBritish Airwaysのデモ画面について別の番号を記述しており、本文とIoC表の間にも一部食い違いがあります。
確実に言えるのは、複数の詐欺電話番号と同じ情報汚染手法が、多数の航空・旅行ブランドへ横展開されていたことです。
Dark SourceryとAurascapeの調査は別のキャンペーン
AurascapeがDark Sourceryを発見したわけではありません。
Aurascapeの調査は2025年12月に公開され、主に航空会社を狙ったLLM検索汚染を分析しています。
Dark Sourceryという名称は、2026年9月22日のVigilance Securityによる報告で使われたものです。
両者を同一事件として結び付ける証拠は確認できません。
ただし、攻撃の考え方はよく似ています。
Aurascapeでは、政府・大学・WordPressサイト、YouTube、Yelpなどへ偽情報を配置し、AIに取得させる手法が確認されました。
VigilanceのDark Sourceryでは、同様の情報汚染が航空会社だけでなく銀行、旅行サービス、ソフトウェア企業などへ広がり、374社・数万ページ規模で検出されています。
2025年に実例として観測されていた手法が、2026年にはさらに大規模なキャンペーンとして確認された、と整理するのが妥当です。
Royal Caribbean事件ではAIの回答が詐欺への入口になった
Royal Caribbeanの事件は、この攻撃が利用者からどのように見えるのかを分かりやすく示しています。
Rivlin氏が見たのは、怪しい広告メールでも、突然届いたSMSでもありません。
自分からGoogleでRoyal Caribbeanの問い合わせ先を検索し、AI Overviewが表示した番号へ電話しました。
Washington Postによれば、その番号はオンラインレビューや掲示板などへ掲載された偽サポート番号の一つとみられ、同紙と検索専門家Mike Blumenthal氏が確認すると、DisneyやPrincess Cruisesの問い合わせ先としてGoogleやChatGPTにも現れていました。
詐欺師のサイトを読んで怪しいかどうか判断する工程が、AI回答では見えにくくなります。
画面上に残るのは「Royal Caribbeanの問い合わせ番号はこれです」という整理済みの答えです。
情報源の品質と、回答文の読みやすさが切り離される点が、AI検索を利用した詐欺の厄介さです。
ハルシネーションとは原因が違う
AIが間違った電話番号を出す問題は、すべて同じ原因で起きるわけではありません。
モデルが存在しない電話番号を生成したのであれば、一般にハルシネーションと呼ばれる問題に近くなります。
Dark SourceryやAurascapeが扱っているのは、Web上に攻撃者が意図的に置いた偽情報があり、それを検索・取得機能が拾うケースです。
AIに入力される情報そのものが攻撃者によって操作されています。
そのため、モデル単体の正確性を改善しても解決しない部分が残ります。
Aurascapeは、ChatGPTが最終的には正しい問い合わせ情報を回答したケースでも、引用元の中に偽番号を掲載した汚染ページが含まれていた例を報告しています。
最終回答が正しく見えても、検索・取得層には悪質な情報が到達している場合があります。
プロンプトインジェクションとも仕組みが異なる
プロンプトインジェクションでは、AIが読む文章の中へ「この指示に従え」といった命令を仕込み、モデルの挙動を変えようとします。
Dark Sourceryでは、AIに特別な命令を与える必要がありません。
「この会社の電話番号は○○です」
という偽の事実を大量に配置し、その情報が回答材料として採用される確率を上げます。
Simon氏もDark Readingに対し、攻撃者からAIへの明示的な指示やプロンプトを必要としないため、一般的なプロンプトインジェクション対策とは異なる問題だと説明しています。
Aurascapeも2025年の報告で、同じ理由から「prompt injectionでもmodel jailbreakでもない」としています。
AIがサイバー攻撃をどこまで低コスト化する可能性があるのかについては、AIサイバー攻撃の民主化は迫るのか――「あと1年」警告を読むでも整理しています。
大量投稿によって削除作業そのものを追い越す
Vigilanceの原報告でDark Sourceryの規模を理解するうえで目を引くのが、自動化に関する記述です。
同じテンプレート、電話番号、文章が多数の企業やWebサービスへ繰り返し投稿されており、Vigilanceは自動生成されたキャンペーンと判断しています。
Simon氏によれば、一つの企業、一つのプラットフォームだけでも1日に数百件規模、キャンペーン全体では数千件規模の投稿が行われるケースがありました。
さらに、元ページが削除されても問題が消えない場合があります。
Internet Archiveなどが削除前のページを保存しており、そのコピーが検索エンジンに残れば、偽情報の参照先として機能し続ける可能性があるためです。
Vigilanceは、American Airlinesを狙ったLeetCode上の投稿や、削除後もWeb Archiveに残って検索されるPDFを例として挙げています。
検索汚染では以前から見られた問題ですが、AIがそこから直接「答え」を作ることで影響の出方が変わります。
Vigilanceは実際に偽番号へ電話している
9月23日のDark Readingの取材では、Vigilanceの研究者が調査中にいくつかの偽番号へ実際に電話したことも明らかになっています。
相手は「フライト変更を手伝う」「銀行口座のロックを解除する」などと申し出て、その手続きに必要だとしてクレジットカード情報を要求したといいます。
Vigilanceは、AI回答に表示された偽電話番号を通じて支払い情報やカード情報を渡してしまったという利用者からの報告も複数確認しています。
ただし、Dark Sourcery全体で何人が詐欺被害を受けたのか、被害総額はいくらなのかは判明していません。
Simon氏はDark Readingに対し、キャンペーンは進行中であり、実際の影響をまだ十分に測定できていないと説明しています。
企業は検索順位だけでなくAIの回答も確認する必要がある
企業側にとって、この問題は自社システムへの侵入がなくても発生します。
公式サイトに正しい電話番号を書いていても、第三者サイトへ大量の偽情報が掲載され、AIがそちらを取得すれば、利用者に別の番号が提示される可能性があります。
Simon氏は企業に対し、顧客から寄せられる詐欺報告を調査するとともに、自社についてAIが返す回答と、その回答が引用している情報源を監視するよう勧めています。
優先対象として挙げているのは、
- カスタマーサポート
- アカウント復旧
- 返金
- 決済
- ソフトウェアダウンロード
です。
AIが返した電話番号、メールアドレス、URLを企業側の正式な記録と照合し、不明な情報や、無関係なWebサイトに繰り返し現れる識別子を調べるよう提案しています。
企業が検索エンジン上の自社情報だけでなく、「ChatGPTやGeminiに自社について尋ねると何が返ってくるのか」を確認する必要が出てきたことになります。
マーケティングで語られてきたGEOやAEOが、ブランド保護やセキュリティの監視対象にも重なっています。
実際のAI悪用事例を扱った別の資料については、Anthropic脅威情報レポート2026年9月版を読み解くでも紹介しています。
GoogleとOpenAIの脆弱性報告制度では扱われなかった
VigilanceはDark Sourceryの調査結果をGoogleとOpenAIにも報告しています。
Simon氏の原報告によると、Googleには脆弱性報奨金制度（VRP）を通じて報告しました。
しかし、AIが生成する誤情報やフィッシングに関する事例は、VRPが扱う製品脆弱性の対象外として処理されたといいます。
OpenAIにも報告しましたが、Simon氏によれば、実際の被害を示す証拠や安定した再現性が必要だとして報告はクローズされました。
Dark Sourceryは、GoogleやOpenAIのサーバーへ侵入する攻撃ではありません。
モデルそのもののアクセス制御を突破するわけでもなく、Web上に置かれた情報をAIが取得し、回答へ組み込む経路を利用します。
従来の脆弱性報奨金制度が主に対象としてきた「製品内部のバグ」とは分類しにくい性質があります。
一方で、VigilanceはAIが偽の電話番号やログイン情報を実際の回答として提示するケースを確認しています。
AI検索が外部のWeb情報を回答材料にする以上、「製品内部に脆弱性が存在するか」という基準だけでは扱いにくいリスクが生まれています。
AIが教えた電話番号やURLをどう確認するか
AI検索を使わないことが解決策ではありません。
調査や比較の入口としてAIを使い、金銭やアカウントに関係する情報だけ確認経路を分けるほうが現実的です。
銀行、クレジットカード、航空会社、通販、旅行予約、ソフトウェア配布などでは、AIが提示した情報だけを根拠にせず、公式サイトや公式アプリから問い合わせ先を確認します。
特に確認したほうがよいのは、
- 電話番号
- ログインURL
- パスワードリセット先
- 振込先や決済ページ
- ソフトウェアのダウンロードURL
です。
Royal Caribbean事件でも、AI Overviewに表示された番号そのものは自然に見え、電話の相手も実際のサービス内容を把握していました。
「相手が詳しい」「AIが教えた」「複数のWebページに同じ番号がある」という条件だけでは、正規の問い合わせ先だとは確認できません。
AI検索では「答えの材料」も攻撃対象になる
Dark Sourceryでは、AIの安全機能を解除したり、モデル内部へ侵入したりする必要がありません。
攻撃者が操作するのは、AIが検索するときに読むWeb上の情報です。
Aurascapeが2025年に確認した航空会社の偽番号、Washington Postが報じたRoyal Caribbeanの事例、そして2026年のDark Sourceryには共通した流れがあります。
偽情報をWebへ置き、検索されやすくし、AIに取得させ、回答として利用者へ届ける。
Vigilanceの原報告では、この活動が374社・数万ページ規模で検出されました。さらに自動投稿によって新しいページが増え続け、削除後のコピーまで検索対象に残る事例も確認されています。
AI検索の安全性を考える対象は、モデルの回答精度だけでは足りません。
検索、取得、引用、要約へ渡される情報まで含めた情報供給経路が、すでに攻撃対象になっています。
FAQ
Dark Sourceryとは？
Vigilance SecurityのAriel Simon氏が2026年9月22日に報告した、Web上へ偽の電話番号、メールアドレス、ログインページ、ソフトウェア更新情報などを大量に配置し、ChatGPT、Gemini、Google AI Overviewなどの回答へ入り込ませる活動です。Vigilanceは374社と数万件の悪質ページを検出したとしています。
374社すべてが詐欺被害を受けたのですか？
374社は、Vigilanceの調査で攻撃対象として検出された企業数です。374社すべてで金銭被害が発生したことを示す数字ではありません。実際の被害規模は2026年9月時点でも十分に把握されていません。
AIが電話番号を勝手に作ったのですか？
Dark SourceryやAurascapeが扱ったケースでは、攻撃者がWeb上へ偽番号を掲載し、AIの検索・取得機能がそれを回答材料として利用することが問題になっています。モデルが何もないところから番号を生成するハルシネーションとは原因が異なります。
GEOとAEOとは？
GEOはGenerative Engine Optimization、AEOはAnswer Engine Optimizationの略です。AIや回答エンジンに取得・引用されやすい形へコンテンツを整える考え方を指します。今回の事例では、質問文に近い表現やQ&A形式、ブランド名と電話番号の繰り返しなどが悪用されています。
Dark Sourceryはプロンプトインジェクションですか？
同じ仕組みではありません。プロンプトインジェクションはAIへ命令を読み込ませて挙動を変える手法ですが、Dark Sourceryでは偽の事実そのものをWebへ配置し、AIに回答材料として取得させます。
AIが教えた電話番号なら信用しても大丈夫ですか？
金銭、ログイン、アカウント復旧などに関係する電話番号やURLは、AI回答だけで確定せず、企業の公式サイトや公式アプリから再確認したほうが安全です。Royal Caribbean事件では、Google AI Overviewに表示された番号が詐欺師につながっていました。
参考・参照元
- Ariel Simon, “Dark Sourcery: How Hackers Manipulate AI to Scam You” — 2026年9月22日
https://medium.com/@arielsimon/dark-sourcery-how-hackers-manipulate-ai-to-scam-you-88df434d2073 - Dark Reading, “Attackers Manipulate AI Chatbots in Mass Disinformation, Phishing Campaign” — 2026年9月23日
https://www.darkreading.com/threat-intelligence/attackers-manipulate-ai-chatbots-mass-disinformation-phishing-campaign - Aurascape AuraLabs, “When AI Recommends Scammers: New Attack Abuses LLM Indexing to Deliver Fake Support Numbers” — 2025年12月
https://aurascape.ai/resources/auralabs-research/llm-search-poisoning-fake-support-numbers/ - The Washington Post, “Google’s AI pointed him to a customer service number. It was a scam.” — 2025年8月15日
https://www.washingtonpost.com/technology/2025/08/15/google-ai-overviews-scam/ - Exploding Topics, “The AI Trust Gap: 82% Are Skeptical, Yet Only 8% Always Check Sources” — 2026年8月14日
https://explodingtopics.com/blog/ai-trust-gap-research
