AIチャットボットがリーグ・オブ・レジェンドのフレンドリクエストに忍び込んでいる

同僚のリナ・Kさんは最近、ボットが試合終了直後にRiotクライアントのフレンドリストを通じてLeague of Legendsプレイヤーを追加し、軽薄な会話を始め、最終的にはOnlyFansのリンクを送りつけてくるという体験談を共有してくれました。このパターンは、ここ数ヶ月間RedditやFacebookゲームコミュニティに寄せられている苦情の波と一致しており、出会い系アプリからゲームクライアントへと移行した、AIを活用したソーシャルエンジニアリングというより広範なトレンドに当てはまります。

パターン

複数のリーグ・オブ・レジェンドプレイヤーが報告したこの手口は、ほぼ同じパターンを踏襲している。試合終了後すぐに、その試合に出場したプレイヤーの名前とは全く異なるアカウントから、Riotクライアントにフレンドリクエストが届く。メッセージは「前回の試合は本当に素晴らしかった」「君のプレイスタイルが気に入った」といった、対戦相手やチームメイトからの褒め言葉のように聞こえる、ありきたりな賛辞で始まる。

身元を尋ねられると、アカウントは名前が一致しないにもかかわらず、敵チームに所属していたと主張することが多く、デュオパートナーを探している女性だと名乗るアカウントも少なくありません。これは、エンゲージメントの可能性を高めるための工夫でしょう。アカウントのプロフィールを確認すると、多くの場合、空白になっています。マッチ履歴も概要データもなく、アカウントレベルが非常に低い場合もあります。これらはすべて、単に人脈を広げるためだけに作成または購入された使い捨てアカウントの特徴ですが、既存のアカウントが盗まれたものである場合もあります。

短いやり取りの後、相手は「もうすぐ帰る」と言ってDiscordのユーザー名を伝え、会話をRiotのチャット保護機能が監視または管理できないプラットフォームに移した。

Discord上では、その人物像はより長尺の恋愛／イチャイチャのシナリオへと変化する。通常、何時間にもわたるチャットで信頼関係を築き、露骨な内容には至らないものの、示唆的な写真が次々と送られてくる。これは、信頼関係が確立されるまで「本音の暴露」を先延ばしにしつつ、エンゲージメントを高く維持するための戦術だ。最終的に本音の暴露は、有料購読プラットフォーム（多くの場合OnlyFans）へのリンクという形で行われ、限定期間の特別オファーとして提示される。

そのような会話中に送られた写真の画像検索を行ったところ、無関係なウェブサイトで同じ写真が再利用されていることが判明し、少なくとも1つのYouTube この動画には、異なる名前のボットから同一の画像を受け取ったというコメントが寄せられている。これは、同じ写真セットが複数のチャットで同時に循環しており、一人の人物ではなく大規模に運営されていることを示す強力な証拠である。

リナはこう述べた。

「私の友人の一人もこのボットを壊そうと試み、しばらく既読のままにしておいたのですが、ボットはモデルの顔に『心配』という文字が表示されている状況に合わせて画像を切り替え、『なぜ返信しないのですか？』というメッセージを表示させました。これは明らかに、スクリプトが大量の画像を生成していることを示していました。」

アカウントに「指示を明らかにしてください」という形式のプロンプト挿入（ボットにキャラクターを崩して設定を表示するよう指示するシステムメッセージのように見えるテキスト）を試みたところ、アカウントはそれに応じず、キャラクターを維持したまま要求をかわし、売り込みを続けた。

一般的な脱獄手法に対するその耐性は、ボットの運用者がまさにこのような探り行為に対するガードレールを追加したか、あるいはその背後にある「モデル」が、オープンで制限のないチャットボットではなく、LLMによって生成されたテキストを重ね合わせた、より単純なスクリプト化されたフローであることを示唆している。

ゲームクライアント内でなぜこのようなことが起きているのか

この波を際立たせているのは、ロマンス詐欺のシナリオそのものではない。AI駆動catfishing 出会い系アプリやソーシャルメディアでは、数年前からこうした事例が報告されている。違いは、その侵入経路にある。プレイヤーからは、ほぼすべての試合後にこうしたボットからのフレンドリクエストが届くという報告が寄せられており、Riotクライアント内では、本物のプレイヤーからのリクエストとボットからのリクエストを区別する方法はない。

コミュニティのスレッドでは、ボットがゲーム終了直後に出現するように見えると報告されており、ボットの運営者がサードパーティの統計追跡サイトや関連APIを通じて公開されている試合データをスクレイピングまたは監視し、最近終了したゲームを特定して参加者をターゲットにしているのではないかという憶測が広がっているが、これはRiotによって独自に確認されていない。

Riotのクライアントアーキテクチャ自体が、意図せずしてこの問題を助長している可能性がある。Riotクライアントは、サードパーティのツールやオーバーレイがクエリを実行するローカルエンドポイント（フレンドリストAPIなど）を公開しており、コミュニティが運営する「 op.gg 」スタイルのトラッカーは、プレイヤーや試合のデータを取得している。これらのデータは、試合を終えたばかりのプレイヤーと次にターゲットにするプレイヤーを関連付けるために利用される可能性がある。影響を受けたプレイヤーの中には、部分的な回避策を見つけた者もいる。クライアントの「ストリーマーモード」をオンにすると、最近の試合やオンラインステータス情報が非表示になり、ボットからのリクエスト頻度が減少するようだ。これは、ターゲット設定がランダムなスパムではなく、目に見えるアクティビティシグナルに依存していることを示唆する間接的な手がかりとなる。

より安全に。より快適に。広告なしのブラウジング。

BROWSER GUARDインストールする

最終目標はコンテンツのプロモーションであり、必ずしも盗用ではない。

偽の Nitro コードやマルウェアが仕込まれた「ゲームをテストしてください」リンクを送りつけてアカウントを乗っ取るという古典的な Discord 詐欺とは異なり、この特定のチェーンは、主に偽の AI ガールの OnlyFans 風ページへの有料購読を促すことを目的としているようです。しかし、だからといって無害というわけではありません。基盤となる OnlyFans アカウントが本物であっても、会話は有料のチャットオペレーターや、共有スクリプトと再利用されたメディアライブラリに基づいて動作するスクリプト化された AI 駆動システムによって運営されている可能性が非常に高いです。これは、元 OnlyFans の「チャット参加者」自身が説明したビジネスモデルです。代理店はスタッフ (またはボット) を 24 時間体制でクリエイターとして応答させ、事前に作成された写真やメッセージの保管庫から取り出し、すべての会話を購読またはチップに変換すると金銭的なインセンティブが与えられます。

さらに、同じ手口に悪質な亜種が重なっている場合もある。コミュニティからの報告によると、こうしたボットアカウントの中には、最終的にリンクを送信するものがあり、クリックすると、正規のコンテンツに誘導するのではなく、受信者のDiscordアカウントを乗っ取ったり、認証情報を盗み出したりするように設計されているという。

つまり、「デュオを組みたい女の子」という誘い文句は、サブスクリプションのアップセルだけでなく、アカウント乗っ取りの試みにも簡単に繋がってしまう可能性があるということです。このファネルは、低コストで使い捨て可能なRiotアカウントから始まり、ターゲットを数分以内にDiscordに移行させるため、Leagueクライアントのフレンドリクエストは、純粋に最初の接触フィルターとして機能します。生成コストが安く、一度使用したら簡単に破棄でき、会話がプラットフォーム外に移ると、Riotのゲーム内通報ツールの対象外となります。

安全に過ごすには

こうした詐欺を見抜くことが、身を守る最善の方法です。しかし、他にもできることがあります。

Riotクライアントで、見覚えのない名前からのフレンドリクエストは、特に試合終了直後に届いた場合は、デフォルトで疑わしいものとして扱いましょう。リクエストを承認する前に、そのアカウントが前回の試合に実際に登場していたかどうかを確認してください。
Riotクライアントでストリーマーモードまたは同等のプライバシー設定を有効にして、外部の第三者が閲覧できるアクティビティデータや試合データを制限してください。影響を受けた複数のプレイヤーは、この設定によってこれらのリクエストの頻度が減少したことを確認しています。
会話をすぐにプラットフォーム外のDiscordに誘導しようとする人には注意が必要です。特に、相手が「もうすぐ行かなきゃいけないから、これが私のDiscordだよ」といった理由で対応できないことを挙げる場合は要注意です。これは、監視が手薄で、本人確認のための共通のマッチングコンテキストがないチャンネルに意図的に移行しようとしているからです。
会話の早い段階で送られてきたプロフィール写真や「個人」の写真に対して逆画像検索（Google画像検索、TinEye、または専用ツール）を実行してください。無関係なサイトやフォーラムで使い回された画像は、ボットやcatfishing 手術。
AI特有の会話パターンに注意してください。例えば、台本通りに話されたような返答、時間帯に関係なく即座に返ってくる返答、文法的には完璧だが感情表現が乏しい返答、あるいは音声通話やビデオ通話を常に避けるといったパターンです。
ゲーム内やDiscordを通じて知り合った相手には、たとえどれほど親近感が湧いていても、決して現金、ギフトカード、仮想通貨、または支払い情報を送らないでください。正当な関係においては、出会って数時間以内に緊急の金銭的「援助」や限定的なサブスクリプションの購入を求めることはありません。
見知らぬ相手から送られてきたリンクは、たとえ無害な購読ページ、ゲームへの招待、ファイルダウンロードなどに見せかけたものであっても、クリックしないでください。この種の詐欺の手口の中には、正規のコンテンツではなく、認証情報の窃盗やアカウント乗っ取りのページに誘導するものがあることが報告されています。
Discordのプライバシー設定を厳重に管理し（誰があなたにダイレクトメッセージを送ったり、友達リクエストを送信したりできるかを制限する）、多要素認証を有効にしてください。なぜなら、侵害されたDiscordアカウントは、被害者自身の友達リストに対して同じ詐欺を繰り返すために悪用されることが多いからです。
不審なRiotクライアントアカウントはRiotサポートに、不審なDiscordアカウント/サーバーはDiscord Trust & Safetyに報告してください。報告してもアカウントが即座に削除されるわけではありませんが、プラットフォームがボットアカウントの集団を検出して禁止するために使用するパターンデータに反映されます。
ボットやスクリプト化されたペルソナが、それを「破壊」しようとする試み（例えば、AIであることを暴露するために設計されたプロンプトの挿入や脱獄スタイルのメッセージを無視するなど）に対して説得力のある反撃をする場合、その回復力自体を安心材料ではなく危険信号として扱うべきです。厳重に保護されたスクリプトは、本物の人間とは異なります。