CofenseのPhishing Defense Centerは、ChatGPTのサブスクリプション請求を装ってOpenAIアカウントの認証情報を盗もうとするフィッシングキャンペーンを確認しました。標的は仕事用アカウントと個人用アカウントの両方です。手口は、23.80ドルという一見もっともらしい少額の請求、48時間という期限、ChatGPTのロゴ、そして偽のログイン画面を組み合わせ、受信者を焦らせて入力させるものです。 34

偽メールの内容：少額請求と「最終通知」で急がせる

確認されたメールの件名は、「Urgent: Update Your Payment Method to Avoid Service Interruption」（緊急：サービス中断を避けるため支払い方法を更新してください）です。本文では未払い残高が23.80ドルあるとし、48時間以内に対応しなければサービスに影響が出ると主張します。 34

メールにはChatGPTのロゴ、「最終通知」を思わせる表示、緊急性を強調する請求文言、**「Update Payment Information」**ボタン、「The OpenAI Team」名義の結びが使われており、正規の通知に見せかけています。 14

ただし、送信元は**support@9527db6e1a.nxcli.io**です。これはOpenAIのドメインではなく、この時点で明確な警戒サインといえます。 3

ボタンの先にあるのは偽のログイン画面

支払い情報を更新するよう促すボタンは、OpenAIの請求ページへ直接つながるわけではありません。Cofenseの追跡によると、リンクはnotifications.googleapis.comのリダイレクトURLを経由し、その後、攻撃者が管理するインフラへ転送されます。 14

最終的なページは、ChatGPTのログイン画面を模倣しています。ロゴや画面要素を似せており、ここでOpenAIのユーザー名とパスワードを入力すると、認証情報が攻撃者に取得されます。その後、利用者はエラーページに移動させられ、単なる技術的な不具合だったように見せかけられる仕組みです。 14

Googleのドメインを含むURLが経路に見えても、それだけで安全とは判断できません。正規サービスのリダイレクト機能がリンクの途中で使われ、最終到達先が悪性サイトであるケースがあります。 14

仕事用・個人用を問わず影響が及び得る理由

Cofenseによれば、このキャンペーンは職場でChatGPTを利用する人と、個人利用者の双方を狙っています。 13

OpenAIアカウントが侵害された場合、影響範囲はそのアカウントの使い方次第です。たとえば、チャット履歴、サブスクリプションや支払い設定、API利用状況、APIキー、プロンプト、アップロードしたファイル、連携した業務プロセスなどに関わる可能性があります。

今回の事例は、広く使われるITサービスのブランドを悪用し、「請求の問題」や「アカウントの停止」といった時間制限付きの理由で行動を急がせる、典型的なフィッシングの流れでもあります。Cofenseは、Microsoft、Google、Adobeなども同様に悪用されてきたと指摘しています。 13

見分けるためのチェックポイント

このメールには、判断材料となる兆候があります。

• 送信元ドメインが不自然：nxcli.ioはOpenAIのドメインではありません。 3
• 不必要に急がせる表現：「23.80ドルを48時間以内に」という期限は、冷静な確認をさせないための圧力になり得ます。 34
• 請求ボタンが別の経路を通る：リンクは想定されるOpenAIのページへ直接進まず、notifications.googleapis.comを経由します。 14
• メールから開いたログイン画面：見た目がChatGPTそっくりでも、求めていない請求メールのリンクから開いたログイン画面には認証情報を入力しないでください。 4

受信したときに取るべき行動

メール内のボタンは押さず、返信もしないでください。請求やアカウントの状態を確認する必要がある場合は、メールとは別にブラウザを開き、**auth.openai.com**へ直接アクセスしてください。 13

請求メール内のリンクを開く前には、送信元アドレスを確認し、リンクやボタンにカーソルを合わせて遷移先を確認する習慣が有効です。ただし、途中に見慣れたドメインが含まれていても、最終的なアクセス先が正規サイトである保証にはなりません。 13

組織のセキュリティ担当者は、確認された送信元や関連するリダイレクト経路を調査・遮断できます。Cofenseの報告では、nxcli.io上の/fertaq/app/login.phpと/fertaq/app/key.phpが、このキャンペーンに関連する指標として挙げられています。 13

すでにパスワードを入力してしまった場合

偽ページに認証情報を入力した可能性がある場合は、漏えいしたものとして扱ってください。メールのリンクではなく、信頼できるOpenAIのアドレスを直接開いて、ただちにパスワードを変更しましょう。

APIキーを利用している場合は、露出した可能性のあるキーをローテーションし、アクティブなセッションや最近のアカウント変更も確認してください。業務アカウントなら、組織のセキュリティ担当部署にも報告する必要があります。

重要なのは、緊急のChatGPT請求メールが届いたこと自体は、本当に請求トラブルがある証拠ではないという点です。確認は必ず、メールのリンクではなく、自分で開いた公式サイトから行ってください。

CofenseのPhishing Defense Centerは、ChatGPTのサブスクリプション請求を装ってOpenAIアカウントの認証情報を盗もうとするフィッシングキャンペーンを確認しました。標的は仕事用アカウントと個人用アカウントの両方です。手口は、23.80ドルという一見もっともらしい少額の請求、48時間という期限、ChatGPTのロゴ、そして偽のログイン画面を組み合わせ、受信者を焦らせて入力させるものです。 34

偽メールの内容：少額請求と「最終通知」で急がせる

確認されたメールの件名は、「Urgent: Update Your Payment Method to Avoid Service Interruption」（緊急：サービス中断を避けるため支払い方法を更新してください）です。本文では未払い残高が23.80ドルあるとし、48時間以内に対応しなければサービスに影響が出ると主張します。 34

メールにはChatGPTのロゴ、「最終通知」を思わせる表示、緊急性を強調する請求文言、**「Update Payment Information」**ボタン、「The OpenAI Team」名義の結びが使われており、正規の通知に見せかけています。 14

ただし、送信元は**support@9527db6e1a.nxcli.io**です。これはOpenAIのドメインではなく、この時点で明確な警戒サインといえます。 3

ボタンの先にあるのは偽のログイン画面

支払い情報を更新するよう促すボタンは、OpenAIの請求ページへ直接つながるわけではありません。Cofenseの追跡によると、リンクはnotifications.googleapis.comのリダイレクトURLを経由し、その後、攻撃者が管理するインフラへ転送されます。 14

最終的なページは、ChatGPTのログイン画面を模倣しています。ロゴや画面要素を似せており、ここでOpenAIのユーザー名とパスワードを入力すると、認証情報が攻撃者に取得されます。その後、利用者はエラーページに移動させられ、単なる技術的な不具合だったように見せかけられる仕組みです。 14

Googleのドメインを含むURLが経路に見えても、それだけで安全とは判断できません。正規サービスのリダイレクト機能がリンクの途中で使われ、最終到達先が悪性サイトであるケースがあります。 14

仕事用・個人用を問わず影響が及び得る理由

Cofenseによれば、このキャンペーンは職場でChatGPTを利用する人と、個人利用者の双方を狙っています。 13

OpenAIアカウントが侵害された場合、影響範囲はそのアカウントの使い方次第です。たとえば、チャット履歴、サブスクリプションや支払い設定、API利用状況、APIキー、プロンプト、アップロードしたファイル、連携した業務プロセスなどに関わる可能性があります。

今回の事例は、広く使われるITサービスのブランドを悪用し、「請求の問題」や「アカウントの停止」といった時間制限付きの理由で行動を急がせる、典型的なフィッシングの流れでもあります。Cofenseは、Microsoft、Google、Adobeなども同様に悪用されてきたと指摘しています。 13

見分けるためのチェックポイント

このメールには、判断材料となる兆候があります。

• 送信元ドメインが不自然：nxcli.ioはOpenAIのドメインではありません。 3
• 不必要に急がせる表現：「23.80ドルを48時間以内に」という期限は、冷静な確認をさせないための圧力になり得ます。 34
• 請求ボタンが別の経路を通る：リンクは想定されるOpenAIのページへ直接進まず、notifications.googleapis.comを経由します。 14
• メールから開いたログイン画面：見た目がChatGPTそっくりでも、求めていない請求メールのリンクから開いたログイン画面には認証情報を入力しないでください。 4

受信したときに取るべき行動

メール内のボタンは押さず、返信もしないでください。請求やアカウントの状態を確認する必要がある場合は、メールとは別にブラウザを開き、**auth.openai.com**へ直接アクセスしてください。 13

請求メール内のリンクを開く前には、送信元アドレスを確認し、リンクやボタンにカーソルを合わせて遷移先を確認する習慣が有効です。ただし、途中に見慣れたドメインが含まれていても、最終的なアクセス先が正規サイトである保証にはなりません。 13

組織のセキュリティ担当者は、確認された送信元や関連するリダイレクト経路を調査・遮断できます。Cofenseの報告では、nxcli.io上の/fertaq/app/login.phpと/fertaq/app/key.phpが、このキャンペーンに関連する指標として挙げられています。 13

すでにパスワードを入力してしまった場合

偽ページに認証情報を入力した可能性がある場合は、漏えいしたものとして扱ってください。メールのリンクではなく、信頼できるOpenAIのアドレスを直接開いて、ただちにパスワードを変更しましょう。

APIキーを利用している場合は、露出した可能性のあるキーをローテーションし、アクティブなセッションや最近のアカウント変更も確認してください。業務アカウントなら、組織のセキュリティ担当部署にも報告する必要があります。

重要なのは、緊急のChatGPT請求メールが届いたこと自体は、本当に請求トラブルがある証拠ではないという点です。確認は必ず、メールのリンクではなく、自分で開いた公式サイトから行ってください。