⚠️Gmail&YouTubeアカウントが盗まれた件についての注意喚起

初めまして、yuigotと申します。

普段は音楽を制作して、楽曲提供などを行ったり、自作曲やリミックスなどをYouTubeにアップロードして生活しているのですが、

そのアカウントが盗まれてBANされました

また、この様子を自分のXアカウントにて実況していたところ、近しい音楽家仲間から似たケースの被害に遭った&遭いかけた連絡が4-5件ほど来たため、注意喚起の意を込めて自分がどのようにアカウントを乗っ取られたかをまとめます。(基本全て無料で公開します！)

アカウントを奪われるまでの流れ

私の仕事用GmailアドレスにYouTubeを騙るアドレスからこのようなメールが届きました。

YouTube CopyrightというアカウントがYouTubeのプライベートリンクを送って来ており、その動画は主にこういう内容になってます。

動画の内容、または概要欄の内容を要約すると、

• あなたのYouTubeチャンネルが「コンテンツの健全性評価」の対象に選ばれた。あなたのYouTubeチャンネルが「コンテンツの健全性評価」の対象に選ばれた。

• 問題がないかYouTube Studioで確認し、必要に応じて対応するよう求めている。

• 7日以内に対応しなければ、動画の露出低下や収益化停止などのペナルティが発生する可能性がある。

• チャンネルの状態を確認するためとして、概要欄に記載された外部リンク（詐欺サイト）へのアクセスを促している。

というものでした。

そして、そのリンクに移動するとこういうページが現れます。

ここに自分のチャンネルのURLを入力すると、DMCA（デジタルミレニアム著作権法：アメリカの著作権保護に関する法律で、YouTubeなどでの著作権侵害への対応にも関係する法律）に違反しているかどうかを確認できる、というものです。

このサイトがうまくできているな……と思ったのは、例えば入力フォームに適当な文字列（「aaaaaa」「1234567」など）を打ち込んでも反応せず、実在するチャンネル名を入力した場合にのみ反応する点です。

さらに、そこからもっともらしいページをいくつか経由させる仕組みになっていて、利用者に「本当にチャンネルの状態を確認している」と思わせるような作りになっていました。

下部の動画が著作権侵害を起こしている、という旨のページとなっており、具体的にどの動画が引っ掛かっているかはチャンネル主のユーザーのプライバシーに関わるので公開できない、そのため本人確認のためにYouTube Studioでログインをして欲しい(リンク付き)というものでした。

自分はリミックス作品などもそれなりの数を投稿していて、DMCA申請元とされる会社も見覚えのある企業名で、かつ以前SoundCloudでリミックスを投稿した際に似た様なケースが起きたことがあったため、そのパターンの一種だろうと思い込み、偽のYouTube Studioにログインしたところ、
一瞬でメールアドレスにとてつもない数のセキュリティ侵害通知が来て、パスキーやパスワード、その他ログイン手段を全て奪われてしまいました。

また、YouTubeなどからも強制的にログアウトされてしまい、別アカウントからyuigotのチャンネルをチェックしたところ、

自分のYouTubeチャンネルががっつり乗っ取られて、NFLの無断転載チャンネルと化していました(涙)

自分が引っ掛かってしまった理由

これまでも、このような詐欺まがいのメールが送られてきたことは何度かありましたが、基本的には引っかかることなく過ごしてきました。

しかし、今回に限って釣られてしまったのには、いくつかの理由があります。

送信元が本物のYouTubeのアドレス

no-reply(at)youtube.comというメールアドレスは実際に使用されており、
自分のメールアプリのフィルタリング機能にも引っかからず、本物だと思い込んでしまいました。
YouTube公式も、同アドレスを差出人とするフィッシングメールについて注意喚起しています。

11/2追記:今回の件に関してはYouTubeの公式機能で特定のアドレスにプライベートリンクを送ることができるというものを悪用された形になっており、アドレス偽造とはまた違う形のやり口となっているそうです。

投稿元のチャンネルがかなりそれっぽい

プライベートリンクで送られて来た詐欺動画のチャンネルが、いかにもクリエイター向け動画を発信していて、かつ動画のトーンもおそらくこれらのオフィシャル動画を模倣したAI動画の可能性が高いため、信憑性のあるチャンネルと誤認してしまいました。

音楽に関わる人間が引っ掛かりやすそうなワードチョイス

「DMCA」や某レコードレーベル、「Content ID」など、例えばサブスクなどで出した曲を再度YouTubeなどで出す時に目にしうるワードが多く散りばめられており、これは自分のことかもしれない…と思いこむことになりました。

11/2追記:自分ごとにはなるのですが、以前SoundCloudでリリースした楽曲がメジャーレーベル経由で再配信された際、自分のSoundCloud側の楽曲が著作件侵害の自動検知システムに引っかかってしまい、その報告がメールアドレス経由で来たことがありました。
サービスは違うのですが、今回の件のサイト誘導の流れ(注意メール→DMCA侵害警告を受けている楽曲の表示→却下申請フォームの入力)がそれと酷似していたため、異なるドメイン間を移動することに危機感を感じられなかった理由になります。
特に自分のチャンネルはリミックスやカバー楽曲も多く扱っていたため、今回の件も類似した件の一種だろうと考えていました。

その後

Xで@TeamYouTubeに連絡したところ、DMで被害状況について詳しくヒアリングしていただき、現在もアカウントの復旧に向けてやり取りを続けています。

また、今回の件をきっかけに、過去に同様の乗っ取り被害を経験した方々からも何件かご連絡をいただきました。

話を伺ったところ、早い方は3日ほどでアカウントが復旧した一方、長い場合は半年ほどかかったという方もいてゾッとしました…

また、今回のケースはYouTubeを狙った犯行ではあるのですが、それと同時にGmailアカウントも持っていかれてしまったため、おそらくYouTubeアカウントのみの復旧よりはかなり時間がかかるだろうとも言われました。

終わりに

今回の件でYouTubeチャンネルからの収益が完全にストップしてしまい、仕事の窓口として使用していたメールアドレスも凍結されたことで、現在の活動にも少なからず支障が出ています。

そのため、もしこの記事が少しでも参考になったり、今後の活動を応援したいと思っていただけたりしたら、ご無理のない範囲でサポートしていただけると大変ありがたいです。

また、ただご支援をいただくだけでは申し訳ないので、ささやかではありますが、自分が楽曲で使用したAbleton Live用のRackもいくつか用意してみました。少しでも楽しんでいただけたら嬉しいです。(Suite以上、VST3のVital,Little Alterboy,Serum,Valhalla VintageVerbがあれば全て使えると思います)

この記事を読んでいただけるだけでも十分ありがたいですし、今回のような被害を防ぐために、周りの方へ共有していただけることも大きな助けになります。

ここまで読んでいただき、本当にありがとうございました。

追記:Abletonを持ってない&音楽制作をしていない支援者向けに、自分が昔作った架空のサウンドトラックをテーマに作った未公開ミニEPも収録させていただきました。よろしくお願いします🙇
(趣味で作ったのでクオリティにはあまり期待しないでください！)