Securityセキュリティリサーチャー(インシデントアナリスト)で、セキュリティコンサルタントのキタきつねの独り言。不正アクセスセキュリティ記事Weeklyレビューフォックスエスタ(私設研究所)プロフィール2020-01-29やらせレビューを乗り越えていくには調べてみた。自分で利用していて薄々感じていましたが、それでもショックだったのが、2019年10月2日に放映されたクローズアップ現代+のAmazonやらせレビューの番組でした。今回の日経ビジネスの記事はその内容とそんなに差分はありませんが、興味深い内容でした。business.nikkei.com気持ちを込めて嘘を書くーやらせレビューを書き込ませるまでの手順を教えてください。王:応募者にはチャットでレビューの方法を指南します。商品を購入してもらうところから始まります。実際に購入するとレビュー欄に「Amazonで購入」と表示され、信ぴょう性が増しますからね。レビュアーの手元に商品が届けば、最高得点の五つ星とともに、商品を褒めたたえるレビューを書き込んでもらいます。レビュアーにはこちらが指定した特定のキーワードを盛り込むよう指示しています。アマゾン内のキーワード検索で商品を上位に表示させるための工夫です。それと気持ちを込めて書くよう指導しています。いいかげんな書き込みだと、チャットで叱責します。日本人のフリをして応募し、不自然な日本語を書き込んだ場合も怒ります。書き直すまで、約束した金額は支払いません。(中略)ー日本を含めて世界中のアマゾンを束ねる米アマゾン・ドット・コムは、人手と機械を使ってやらせレビューを監視し、不正と判断すれば非公開とする措置を取っています。王:アマゾンにやらせを検知されないように坂田地区の住人も日々腕を磨いています。やらせレビューを掲載するタイミングです。ある日、突然レビューが増えたらアマゾンに不正を察知され、アカウントを凍結されかねません。そのため初日に10件、2日目に15件というように徐々に投稿するレビューの数を増やしていき、4日目に減らすといったことをやっています。初期の需要が一巡して、いったん販売が落ち着く状況を再現しています。それと五つ星ばかりが並ぶのも不自然です。通常であれば、一般の購入者が三つ星をつけたり、不良品を手にした購入者が一つ星をつけたりするものですが、いくら待っても低評価がつかないことがあります。その場合、あえて一つ星や三つ星のやらせレビューを依頼することがあります。食べログやAmazonだけでなく、楽天等にもやらせレビューが蔓延し始めるとすると、一般消費者は何を信じれば良いのか分からなくなるかも知れません。セキュリティという題材とは少し違いますが、「人の脆弱性」を突く、ある種ソーシャルエンジニアリング手法と考える事も出来るかも知れませんので、少し考えてみたいと思います。日本のAmazonに対応する「やらせレビュー」ツールとしては、サクラチェッカーとレビュー探偵が知られています。補足として、従来Android版しかなかったレビュー探偵は、昨年12月にPC版&Chrome拡張版をリリースしています。■レビュー探偵(※アンドロイド版、PC版、Chrome拡張版)去年のクローズアップ現代+でも取り上げられた「サクラチェッカー」ですが、IT企業のSEが開発者の方とされており、サクラレビュー検知の精度は個人的に使った感覚ではまずまずあるかと思います。言え、今回の日経ビジネスの記事を見ると、既に業者は対策を始めていると言っても良いかも知れません。上記の分析を不正レビュアーグループに潜入して得た「ロジック」や「機械学習」の仕組みを複合的に使用し分析しています。現状の分析手法の様です。潜入していた・・という所には少し驚きですが、それが故に一定以上の精度を出せている事は間違いないかと思います。個人的に使った感じでは「レビューとレビュアー」分析は甘い気がしますが、それを差し置いても、まだ「検知」してくれている気がします。レビュワー評価が甘いと感じるのは、例えば以下の様な商品です。星5の評価者(大体がやらせと推定される)と低評価者が一部という構成ですが、その評価者のレビューを見ると、機能説明に特化しで持ち上げる文章だったからか、あまり多くの参考になった票を得てませんでした。レビュワーの方の「他商品のレビュー」を見ると・・・ほぼ星5しかつけてません。この商品を高評価するレビュワーの方をいくつか見てみましたが、ほぼ星5を付ける人たちだけでした。この辺りが、サクラチェッカーは点数をもう少し辛くする必要があるのかな?と思います。(プレスクリーニングとしては良いのですが)星5レビュワーのコメントを見ていると、、なかなか面白い評価コメントを見つける事もあります。・・中国語に(しかも厳しい評価)なるのは、さくらレビュワーでは無かった頃の名残でしょうか。いくつかの点で更なる検知機能UPが必要な気はしますが、私個人としてもよく使わせて頂いてますので、自分でレビューを確認する事をすれば良いので、(問題はあるかも知れませんが)十分に参考になる情報を提供してくれていると思います。無料ツールである以上、仕方が無い事かと思います。(結構な副収入になるだろうなと愚考します)一方で、今回の日経ビジネスの記事の”手法”が広がれば、(近い将来)サクラチェッカーの精度は落ちてくる可能性があります。1は製品をAmazon倉庫に預ければ評価点が向上しますし、2は日本のダミー住所登録(許されるのであれば)で分からなくなります。3には業者側に既に対応されている気がしてます。下記の様な同じ商品を出品するショップが、Amazonで複数登録されている点が怪しいかと思っています。1つの商品の評判が悪くなると、違う商品登録(ショップ名が違う)に乗り移ってステマする、、という手法がとられた場合、3の評価点をくぐりぬけてしまうかと思います。4~8は日経ビジネスの記事において、やらせレビューの依頼業者側が既に認識していて、例えば現在のチェック項目で大きな効果を上げていると思われる、4や5は、依頼を分散する事で対策が進んでくる様です。一方でもう1つの国内ツール、レビュー探偵ですが、Chrome拡張版だけでなくPC版も、記事を書いている時点で臨時メンテナンスに入っていて、実働を確認できませんでしたが、メンテナンス中の為、魚拓サイトのデータを引用しますが、カーソルを当てると、評価結果が出てきます。レビュー探偵がどういった評価ロジックなのかについて、Android版のリリース記事に書かれていましたが、「非公開」という事です。不正レビュワーに攻略されると元も子もないので詳細は言えませんが、おそらく雑な(ダサい?)見た目からはとても想像できないようなかなり細かく真面目でわりと画期的なチェックをしていると思います。初期リリース段階で少なくとも数十のロジックによるフィルターを実装しています。これもセキュリティ対策上の正しい手法の1つだと思います。賢い業者は、こうしたレビューツールを常に研究した上で、「やらせ」運用を考えてきますので、大事なロジックの一部(全部)はぼかしておくという手法(ブラックボックス化)は、業者が対抗策を立てづらくなる点で有効かも知れません。因みに、レビュー探偵はAmazonアフェリエイトリンクを付加してないそうです。残念ながら、メンテナンス中だったので実稼働検証が出来ませんでしたが、こちらのツールも試してみたいなと強く思いました。本日もご来訪ありがとうございました。Tumblr関連記事2020-10-24トランプ大統領のパスワードトランプ大統領は大統領選挙での劣勢が伝えられていますが、逆...2020-03-22コロナウイルス時代のリモート監査コロナウィルスの影響はこんな所にも。当ブログでも様々...2020-01-01私のセキュリティ情報収集法を整理してみた(2020年版)新年あけましておめでとうございます。(470)調べてみた。(306)つぶやいてみた。(261)まとめてみた。)はてなブログをはじめよう!foxcafelateさんは、はてなブログを使っています。ブログを報告する引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。