事件はTwitterで起きている：Twitter定点観測（3/3 ページ）

[小林啓倫，ITmedia]

OAuthを利用したスパムが騒ぎに

　8月初旬にはもう1つ別の騒動があった。Twitterのダイレクトメッセージ機能を通じて、大量のスパムが出回るという事件が起きたのである。スパムの発信源は、MobsterWorldという名前のオンラインゲーム。Twitterのアカウントを通じて参加するゲームで、一度参加してしまうと、利用者のフォロワーにオンラインゲームへの参加を呼び掛けるダイレクトメッセージが勝手に送信される。被害者が新たな加害者になる仕組みだったため、スパムは一気に拡大した。

　Twitterが流行しているとはいえ、利用者はネットに詳しい一部の人々が中心だ。なぜ多くの人々がスパムにだまされ、踏み台にされてしまったのだろうか。

　まずポイントとなるのが、今回のスパムにOAuthが絡んでいた点である。OAuthはAPIのアクセス権を制御するためのプロトコル。ID・パスワードを教えることなく、あるサービスのアカウントへのアクセスをほかのサービスに許可できるものだ。Twitterは3月からOAuthを採用しており、MobsterWorldにもさまざまなサービスがTwitterとの連携に利用されていた。

　今回の流れはこうだ。まず送られてきたメッセージ中のリンクをクリックすると、MobsterWorldのサイトに移動する。サイトには「Click here to play」というボタンが表示されており、ここを押すとTwitterのサイトに再び移動する。ここで「MobsterWorldがあなたのアカウントにアクセスし、アップデートすることを許可するか？」という確認メッセージが表示される。「許可する」を押すと、ユーザーのアカウントが操作されて勝手なダイレクトメッセージが送信される。

　この間、ほとんどのメッセージは英語で表示される。「許可する」をクリックすると何が起きるのかが明記されているものの、よく読まずにクリックしてしまった人も多かったようだ。OAuthを利用しているため、確認画面がTwitter公式ページであることも安心感を与えてしまったのだろう。「許可する」と言ってもフォローの確認程度で、ダイレクトメッセージが送信される点までを想像していなかった利用者が多かったのではないか。

　スパムがダイレクトメッセージを使ったという点も重要だ。仮に「@」を付けた返信のメッセージが来た場合、利用者の多くは不信感を抱き、リンクをクリックしないだろう。また@返信はタイムライン上に公開されるため、ほかの利用者から「〜さんのメッセージにあるリンクはクリックしない方がいい」と注意してもらえたり、勝手なメッセージが送られていることに利用者自身が気付いたりする可能性もある。さらに、ダイレクトメッセージは自分がフォローしている人からしか届かない。

　今回のスパムでは、「〜さんが自分に宛てて送ってくれたメッセージなら」という安心感から気軽にクリックしてしまう利用者がたくさん出たことで、被害が急拡大した。これらがどこまで意図的に行われたものかは分からないが、ダイレクトメッセージを経由していたという点は、スパムの拡散に少なからず貢献してしまったようだ。

　外部サービスと接続しやすく、SNSと同種のネットワーク性を持つTwitterは、今回のようなスパムに狙われやすい。事実MobsterWorld以前にも、Twitterを舞台にしたスパムやフィッシング詐欺は何度か発生している。MobsterWorldはゲームへの参加を呼び掛けるだけだったが、より悪質なサイトへと誘導したり、ウイルスを拡散したりするといった手口がはびこる危険性もある。利用者側は「怪しいユーザーはフォローしない、知人から紹介されたリンクでも軽々しくクリックしない」という自己防衛が求められる。

---

　Twitterの利用者と利用方法の拡大が、これまでにない事件を引き起こしている。Twitterを初期から使っている人でも思わず驚くような出来事が、今後もTwitterを舞台に起こっていくだろう。

著者プロフィール：小林啓倫（こばやしあきひと）

日立コンサルティング シニアコンサルタント。1973年2月26日生まれ。東京都出身。筑波大学大学院（地域研究研究科）修了。国内のシステムインテグレーターでERPコンサルタントとしてキャリアを積んだ後、米マサチューセッツ州のBabson Collegeでアントレプレナーシップを学び、MBAを取得。外資系コンサルティング会社、ベンチャー企業を経て、2005年に日立コンサルティングに入社。「シロクマ日報」「POLAR BEAR BLOG」など、複数のブログを執筆するブロガーでもある。Twitterのアカウントは「@akihito」。URLは「http://twitter.com/akihito」