勝手に英文をツイートされてしまうハッキング事例が多数発生中！
最初は自分だけの被害だと思って伏せていたのですが、被害が拡大中ですので公表しておきたいと思います。
被害の概要
2012年3月27日と2012年3月29日に私のtwitterアカウントを利用して何者かが英語で勝手にお金儲け系のサイドビジネスを勧誘するツイートを連発しました。 以下がその時のスクリーンショットです。（3/27のものです）
このように、連続して１度に５件～１０件ほどの英文ツイートを勝手につぶやくのが特徴です。 ユーザーが出来る事といえば、対象の英文ツイートを削除してフォロワーにURLをクリックしないように呼びかけるのみ。 正直お手上げ状態です。
現在、Twitter検索をしただけでも日本人、外国人に関わらず世界中で被害が発生している模様です。
「勝手に英文ツイート」攻撃の特異性
Twitterには、サードパーティー製のアプリとの連携によって自分がツイートしなくても自動的にツイートを行うことができる「アプリ連携」という機能があります。
不特定多数にDMを送り、このアプリ連携機能を悪用する事例というのは過去にも多くあったのですが、今回の攻撃に至っては過去事例が当てはまらないとも思われる、次のような特徴を持っています。
- 悪意のあるアプリ連携が存在しない？
- PCがシャットダウンしていてもツイートされてしまう
- アカウントパスワードが変更されていない
私が攻撃された際に連携していたアプリのスクリーンショットは以下です。 どれもメジャーアプリ、あるいはiOS公式アプリなど。
その後、bit.ly アプリもアプリ連携から外しましたが、3/29のツイート攻撃は防げませんでした。
対策は？
3/29追記：パシのSEOブログさんのtwitterアカウントも同様の被害らしく、スクリーンショットを見て気づいたのですが、英文ツイートが「Mobile Web」からとなっています。 私の連携アプリにも「Mobile Web」があったので、アプリ連携で「Mobile Web」を連携させないことで防ぐことができるかもしれません。
ただ、「Mobile Web」というのはスマートフォン等の携帯端末のブラウザでTwitterサイトにログインした際に自動的にアプリ連携されるアプリ名なので、実際に「Mobile Web」が犯人なのかどうかは微妙なところなのです。
怪しいアプリ連携をしていないにも関わらず、自分のPCが起動しているかどうかに関係なく英文ツイートが行われるということは、攻撃用のサーバーから直接、私のアカウントを装ったツイートが行われている可能性が考えられます。
ただ、もしかしたらメジャーなアプリや公式アプリが原因の可能性もあるので、念のため全ての連携アプリを一度外しておいたほうが良いかもしれません。 また、パスワードも変更しておくことをおすすめします。
このような代理ツイートは攻撃用サーバーがOAuthという認証技術における「アクセス・トークン」という、ユーザー特有の本人認証データを保持してしまっていることが原因として考えられますが、アクセス・トークンをどのような経路で不正取得されてしまったのかが不明です。
パスワードを変更しておくと、このアクセス・トークンが無効になるので、再度怪しいアプリ連携手続きを行わない限り、不正な投稿は行われないようになります。
現在、この事例については調査中であり、未だ根本的な解決には至っておりません。
被害は日々拡大しているように思われます。 パスワードを盗みとるアカウントの乗っ取りと考えるにはあまりに多くの方が被害を被っているという特徴から、若干疑問が残ります。
Twitter社も含め、原因や対策に心当たりのある方、または同様の被害に遭われている方はどのような情報でも構いませんのでお知らせ頂けると幸いです。
2012-03-29
3 件のコメント
思い当たる節は
DMで、英語で「この画像を見たことが
ありますか？」ってやつがきて、
そこにパスとID打ったら
こうなった
ツイッターを狙ったハッカーは確実にMacも狙ってますよ
MacOS 10.6.8で珍しくハッキング被害に遭ったんですけど
イラストレーターデータCS5をPDFに変換する際、
レイヤーの数個が非表示にさせられるバグ(ハッキング)で
酷い目に遭いました
今回のツイッターを狙ったハッカーはMacまで堂々と狙ったと
被害に遭った自分は思ってますね、その上Facebookの挙動まで
おかしい
更にその不可解なツイッターのツイートは自分の所にもクリスマス前や、
イベント前に必ず来ます、しかも同じアカウントの奴で
被害に遭ったんで情報提供します
Twitterに友人から英文でメッセージがきたので、開こうとしたときにパスワードとIDを入力して以来そうなりました。つまり、友人はすでにのっとられていたのですね。
何やらダイエットの薬的な宣伝のようでしたが、この会社が不正な宣伝をしたとして、訴えることはできないのでしょうか。