日本時間の7月16日早朝、米マイクロソフト創業者ビル・ゲイツ氏、米テスラのイーロン・マスクCEO、バラク・オバマ前米大統領を含む多数の認証済みのTwitterのアカウン（青色のチェックマークが表示されている）が何者かに乗っ取られました。今回のハッキングをエフセキュアのチーフリサーチオフィサー(CRO) であるMikko Hypponen (ミッコ・ヒッポネン)は、「Twitter史上、最大のセキュリティ侵害」とした上で、今後のソーシャルメディアへの攻撃がさらに悪化する可能性を懸念しています。
ハッカーは、Twitter社の従業員を標的とした攻撃でサイトの管理ツール(英語)にアクセスし、サイト管理ツールの権限を利用して、著名人のアカウントとツイートを悪用したビットコインがらみの詐欺に関するツイートが投稿しました。
Twitter社は、認証済みアカウントを停止して新しいツイートを送信できないようにし、また、ビットコインに接続されているリンクを解除するなど、複数の対策を講じて攻撃を停止させました。
「このハッキングの経緯を鑑みると、それを防ぐためにユーザーが何もできなかったことも意味しています」とMikkoはしていますが、「自分のアカウントのセキュリティを強化することは、常に良い考えです」とも述べています。具体的な方法は、「パスワードマネージャーを利用して、強固でユニークなパスワードを設定すること、2要素認証を有効にすること、そして、重要なアカウントにはユニークなメールアドレスの使用」を推奨しています。
さらに、「自分のアカウント上の特異な動きには常に気にかけてください。いつもと異なるアクセスに関するメールを受信した場合、が変更された場合、2要素認証が無効になった場合、そして、ログインへの不正アクセスの通知を受け取った場合は特に注意してください」とアドバイスしています。
こちらからTwitterアカウントのセキュリティ設定が変更できます。
周到なソーシャルエンジニアリング攻撃
今回のハッカーはTwitter社のシステム内部への侵入と、著名人のアカウントを乗っ取りなりすました詐欺行為を実行するため、ソーシャルエンジニアリング戦術を利用しています。エフセキュアでコンサルタントを務めるVic Harkness（ヴィク・ハークネス）は、「攻撃の最初のフェーズでは、Twitter社のサイト管理ツールへのアクセス権を持つ特定の従業員を標的としたソーシャル・エンジニアリング攻撃を行い、従業員を巧みに操作して著名人のアカウントを乗っ取ることができた」とし、さらに 「攻撃者の標的となったアカウントは入念に計画され選ばれた」と述べています。
乗っ取られたアカウントは、デジタルテクノロジーへの見識の高さが周知されているパーソナリティを持つ人が意図的に選ばれています。これは、詐欺行為を信憑性する効果があり、攻撃者の目的であるユーザーを騙してビットコインを送信させることを可能にしました。
「攻撃の第二のフェーズとして、ビットコインがらみの詐欺に関するツイートの投稿に関しても、一般的なソーシャルエンジニアリング戦術が利用されています。著名人になりすました投稿することで内容の信憑性を高め、また、「30分限定」という圧力の戦術を利用し、さらに、ハニーポット戦術としてユーザーの金銭的な利益をちらつかせています」
運が良かった今回の攻撃
攻撃の経緯を考えると、攻撃者は株価を操作することではるかに多額のお金を稼ぐことができたであろうVicは指摘しています。ただ、今回の攻撃によってもたらされた金額は＄100,000は、この脆弱性を直接Twitter社に報告するために考えられる褒賞である$7,700をはるかに超えているのも事実です。
しかしながら、エフセキュアの専門家は、今後起こり得る攻撃での最大のリスクは、選挙政治を取り巻くTwitterの並外れたメッセージングの役割であることを示唆しています。
「攻撃者はすべてにアクセスすることができたはずです」とMikkoは述べています。 「彼らはTwitterでやりたいことは何でもできたはずです。例えば、今年11月の米国の次の大統領を決める選挙の投票中に、領候補になりましておかしなことをツイートすることもできたのです」
また、Twitterは現在の米国大統領のお気に入りのソーシャルメディアプラットフォームであり、野心的な攻撃者にはさらに大きな標的になり得ます。
「結局のところ、今回のハッキングは実施されたことよりも、はるかに悪質なことだったのかもしれません」とMikkoは言います。 「確かに、Twitterは利用者も多く、沢山のフォロワーを抱えた著名な人もいます。しかし、SnapchatやRedditでさえ、Twitterよりも多くの利用ユーザーがいます。そして、ソーシャルメディア業界の巨大企業は、Instagram、Youtube、Facebookです」
