「レイバン激安」Twitter乗っ取りでスパム送信、勢い衰えず 有名人も被害に（ITmedia ニュース） - Yahoo!ニュース http://t.co/GwBo8E0jKt
— 不破雷蔵(懐中時計) (@Fuwarin) 2015, 3月 6レイバンのサングラス。
「不正アプリの認証ではなく、流出したID・パスワードによる乗っ取りと考えられる」
Twitter乗っ取りでスパム送信相次ぐ リスト型攻撃か 偽ブランド販売サイトに誘導？ http://t.co/RU9d3ZZJgT
— NI-Lab. (@nilab) 2015, 3月 5文言的には幾分の違いを見せるのだけれど、例のリスト攻撃型によるツイッターのアカウント乗っ取り＆広告誘導スパム問題の続報。ここ数日攻勢が激しさを増しているようで、IT系のニュースとしてもいくつか取り上げられている。結構知名度が高い人も被害を受けたようで、それがニュースとしての拡散要素にも加わったようだ。
で、その内情や対処方法は以前
(ってことはアプリ連携以外で連続ツイートが出来る、専用のマクロツールが開発されているって推定が出来ますな...まだ事例を集める必要があるけれど) レイバンのあのツイート、1分間に10件前後、別々の宛先に向けて放っているので、画像添付の手間も合わせると手動ではまず無理だな......。 零番アタック、偽装の可能性は否定できないけれどツイートは「Twitter Web Client」からなんですよね、確認した限りではすべて。それで連携アプリを使った上での自動ツイートでは無い......と。 pic.twitter.com/VGZ7sqdE4Z ツイッターで(クライアントにログインした上で)連携アプリを使わず連続してツイートする方法は......やはり何かマクロ的なものか。それとも人海戦術か。 @Fuwarin for Android とかであれば、遥か昔にコンシューマーキー抜かれてるので偽装もできそうですが、web clientは聞いた事ないですねー・・・ @AtelierFujino 前にもちょいと話したのですが、オンラインゲーム向けにマウスの挙動などを再現するツールは結構あるので、それを応用した可能性は。ただこの類の攻撃は基本的にリソースを使わずに行えることが前提なので......。手動は考えにくいのですよね。コスパが悪いので。 @Fuwarin 何らかの手段で web client から送信していると見せかける事さえできれば（昔どっかに via web に偽装するのはあったという噂）
ただ、同じレイバンでも、昨日のツイート分と今日のツイート分だとテキストが異なるのでまさか・・・共通項は日本人じゃなさそう @AtelierFujino クライアント偽装に意味があるか否かですね。誘導先はハンガリードメインですが取得者は中華系の名前の人です。それ以上は分かりません。 @Fuwarin 一見ツールでは無く、喰らったユーザー自身が自発的にツイートしている、と言うように見せかけることができそう （と考えてやってそうだけど、日本語がお粗末・かつ同一文で撒いてるのでそこからも判別される） という事かなーと邪推。 @AtelierFujino あーなるほど。その発想はありかも。です。 その発想でいくと、アカウントを乗っ取った上でわざと連携アプリを承認させて、それで自動ツイートをしている......かと思ったのだけれど、どうもそうではないっぽい。複数の被害実例で「連携アプリの類は確認できない」との報告を受けている。 連携アプリを使わずに、例の広告スパムツイートを行っている。画像付きで、異なる対象に、同じ文言を1分間に10件以上。手動では論理的に不可能。複数クライアント・端末で同時に手動でという可能性も考えたのだけれど、ツイート間隔が一定なことから、それも考えにくいし、意味が無いし、消費リソースが大きすぎる。そのような環境があるぐらいなら、別々のアカウントへの乗っ取りをそれぞれ行った方が効率は高くなる。 と、なると、公式のウェブクライアント(偽装が無ければ)上から、連携アプリを使わずに、宣伝スパムツイートを打つ方法を有していることになる。しかも高速で。これでは連携アプリの解除なんてのも意味は無い。使われていないのだから。 一方で乗っ取ったアカウントのパスを変えないのは、効率が悪いからなのだろう。ツイートする対象となるアカウントは次から次へと取得できる。一つのアカウントにこだわってリスクを底上げする必要はない。見方を変えれば、自分達の身元が絶対にばれないという自信の類があるんだろうな。 対処法としてはとにかく他サービスと同じIDとパスの組合せは使わない。万一乗っ取られたらすぐにパスワードを変える。連携アプリも再確認して怪しいものがあればすぐに削除。その上で @Fuwarin Twitterのログインリクエスト（ワンタイムパスワード）を携帯に送信させる設定もあるようなので、そちらの対策も有効のようです。 誘導先のサイトから、犯人が誰かはある程度特定できると思うのだけどねえ......嫌がらせの類の可能性もあるけれど、それはそれで状況の把握確認には役に立つ。
この類の加害者側は原則として「どれだけ消費リソースを減らせるか」が要となる。100円分の利益を上げるのに1000円分のリソースを使っていたのでは意味が無い。デジタル社会におけるツールの悪用というとアレだけど、極力楽をして収益を得る、そしてロングテールを活用するってのが原則。
の指摘の通り、パソコン版クライアントからアクセスできる設定メニューを用いて、対策を講じるのも一つの手ではある。面倒くさいけれど。
執筆:
コメントする