McDonald’s Japanサーバーに仕組まれた偽装工作

問題のDiscordサーバー「McDonald’s Japan」は、一時期8,600人を超えるメンバーを抱える規模に膨れ上がっていたことが確認されている。その利用手順は正規のルートから大きく逸脱しており、異様である。

利用者はまず、Discord上の専用bot（自動応答プログラム）に対し、商品を選択して取得した「Hexコード」と呼ばれる文字列を送信する。するとシステム側で処理が行われ、最終的にスマートフォンの画面上には、本物そっくりの「フェイク注文完了画面」が生成される。利用者はこれを店舗で店員に提示し、商品を受け取るという手はずだ。

マニュアルには「実際に決済されることはありません」などと、免責事項を装った文言が添えられているが、正規の代金を店舗に支払わずに商品を得る行為が、真っ当な商取引であるはずがない。

コンボリストとスクレイピングが暴く「半額」のカラクリ

この「半額」が成立する仕組みについて、X上でIT技術やサイバーセキュリティに詳しいあるユーザーが、説得力のある推測を展開している。その分析によれば、根本にあるのは他人のマクドナルド公式アカウントへの不正アクセスだ。

攻撃の起点は、インターネット上のダークウェブなどに流出している、膨大な数のメールアドレスとパスワードの組み合わせ（通称：コンボリスト）である。攻撃者は独自のツールを用い、マクドナルドのサーバーに対して自動でログイン試行を繰り返す「クレデンシャルスタッフィング（総当たり攻撃）」を仕掛け、ログイン可能なアカウントを特定する。

乗っ取りに成功すると、マクドナルドの注文システムをスクレイピングし、クレジットカードなどの支払い方法が紐づいているアカウントを自動的に探し出す。利用者がDiscord上で送信する「Hexコード」は、システム内部で生成される注文内容を含む文字列であり、攻撃プログラムはこれを読み取って、他人のクレジットカードで自動決済を完了させるのである。

利用者が運営者に支払う「定価の65％」などの代金は、商品の原価を一切負担していない運営者にとって、100％の純利益となる。他人の財布から金を抜き取り、自らの懐を潤すという、極めて悪逆非道なビジネスモデルと言わざるを得ない。

CodexやClaude Codeが招くサイバー犯罪の民主化

ここで我々が真に注視すべきは、この巧妙な不正注文システムを構築した人物の背景である。前述の分析を行ったユーザーは、Discordサーバーから決済システムに至るまでを作成したオーナーが、必ずしも高度なプログラミングスキルを持つ専門家ではない可能性を指摘している。倫理観の欠如した若年層である可能性すらあるという。

彼らの手足となっているのは、「Codex」や「Claude Code」といった高度なコード生成能力を持つAIエージェントである。現代においては、専門知識を持たない無知な人間であっても、情報誌を片手に自然言語でAIに指示を出すだけで、複雑な自動決済プログラムやハッキングツールを構築できてしまう。AIの技術革新が、意図せずして「高度なサイバー犯罪の民主化」を招き、実行ハードルを極端に下げてしまった現状は、社会全体に対する深刻な脅威である。

リアルタイム逮捕のリスクと群がる情報商材

「安く買えるなら」と軽い気持ちでこのDiscordサーバーを利用した者にも、重い代償が待ち受ける。実態が他人のクレジットカードを使った不正決済である以上、利用者が店舗に赴き商品を受け取る際、不審な取引としてリアルタイムで警察に通報され、その場で逮捕されるリスクが極めて高い。詐欺の共犯として立件されれば、「知らなかった」では到底済まされない。

さらに事態の闇を深くしているのが、この犯罪行為を「裏技」と称して換金しようとする輩の存在だ。別のユーザーが共有した画像によれば、コンテンツ配信プラットフォームにおいて、「最近話題のマクドナルドを半額で頼む方法」と題した情報商材が、30,000円という高額で販売されている実態も確認されている。犯罪のノウハウを金銭に変えようとする、底なしのモラルハザードが広がっている。

狙われているのは、我々が日常的に利用する身近なサービスのアカウントである。企業側のセキュリティ対策の強化が急務であることは言うまでもないが、それと同時に、利用者自身も「複数のサービスで同じパスワードを使い回さない」といった基本的な自衛策を徹底しなければならない。甘い誘惑の裏には、必ず誰かの犠牲と、狡猾な犯罪の罠が存在することを、我々は改めて肝に銘じるべきである。