Twitterが悪用多発の脆弱性を解決、「パスワード変更の必要はなし」

[ITmedia]

　Twitterの脆弱性を突いたコードが拡散し、意図しないツイートをしてしまうケースなどが多発していた問題で、Twitterは9月22日までに、原因となっていた脆弱性を解決したと発表した。

　Twitterによると、この問題ではクロスサイトスクリプティング（XSS）の脆弱性が悪用され、ユーザーがJavaScriptコードを仕込んだツイートを投稿して別のユーザーのブラウザで実行させようとしていた。この脆弱性は先月見つけて解決したはずだったが、最近のアップグレードによって、知らないうちに再発してしまったという。

　何者かがこれに気付いてTwitter.comのサイト上で悪用した。まずツイートのリンク上にマウスを置くとツイートの色が変わってポップアップ画面が表示される「マウスオーバー」問題が発生。続いて、ユーザーが知らないうちに元のツイートをリツイートしてしまうコードが出現した。

　影響が出たのはTwitter.comのみで、モバイルサイトなどに影響はなかったという。悪用行為の大部分は「いたずらや宣伝行為の範囲」で、コンピュータやアカウントに危害を加えるようなものではなかったとTwitterは説明する。タイムラインにまだ不審なツイートが残っている可能性はあるが、ユーザーのアカウント情報が乗っ取られるようなことはなく、パスワードを変更する必要もないとしている。

　セキュリティ企業Kaspersky Labのブログによれば、脆弱性を悪用するワームのコードがIRCに投稿されて出回ったため、この問題に関連したとみられる投稿はピーク時には毎秒100件のペースで増殖した。悪質な投稿の総数は50万を大幅に超えたはずだと推測している。

　英Sophosの研究者のブログによると、ブラウン英前首相の妻のTwitterページには、日本のポルノサイトにユーザーをリダイレクトするツイートが掲載された。こうした行為の大部分は単なるいたずら目的とみられるが、犯罪目的で悪質なコードを仕込んだWebサイトにユーザーを誘導する手口にも利用される可能性があったと指摘している。

企業向け情報を集約した「ITmedia エンタープライズ」も併せてチェック