「Xであなたをブロックした人が分かる」サイト拡散　ソースコードを見たら、IDとパスワード外部送信（1/2 ページ）

　X上で「あなたをブロックしている人の状況を確認できる」とうたうWebサービスが拡散している。XのIDとパスワードの入力を求める作りだが、ITmedia NEWS編集部がページのソースコードを見てみたところ、入力した情報をそのまま外部のサーバへ送っていた。画面に出る人数もランダムな数値で、認証情報を盗むフィッシングサイトとみられる。

　問題のサイトは、米Cloudflareの無料ホスティングサービスで作ったもの。でたらめなIDとパスワードを入れて「ブロックをチェックする」ボタンを押すと、「診断完了」の画面に切り替わり、「ブロックしてる人数」として数値を表示した。ただ、この数値はページ内のスクリプトが生成した乱数で、実在しないアカウントのIDを入れても人数が出るなど、信ぴょう性はない。

　入力情報の送信先は、Cloudflare上に用意されたアドレス1カ所のみ。ボタンを押すと、IDとパスワードを暗号化しないままそこへ送る仕組みで、アドレスにはXの旧称をもじった文字列を使っている。

　結果画面の下部には「Xで結果をシェアする」ボタンが表示される。押すと診断結果を装う文面が入った投稿画面が開き、体験談を装った投稿で次の利用者を呼び込む導線になっている。

この記事の著者

関連記事

• 

  Discordの「オンラインになったとき、フレンドに通知する」機能が不評　「かまちょすぎる」「勝手に伝えないで」

• 

  ミャクミャク関連サイトがアダルトサイトに……大阪万博のドメイン運用終了→転用続出で物議　悪用の懸念も

• 

  GMO、浅田真央さん旧ドメイン問題後に表記修正　優良中古ドメインは「AIが選定」

• 

  検索結果に「詐欺ではありません」と表示させる詐欺手口、警視庁が注意喚起　AI要約も餌食に

• 

  東大、60代教授を懲戒処分　サイトのHTMLソースに“不適切な言葉”　「六四天安門」問題が理由と毎日報道