Twitter大規模乗っ取り、従業員への「スピアフィッシング」で内部システムにアクセス
Twitterで7月15日に発生した著名人アカウントの大量乗っ取り・偽ツイート事件の手口は、従業員への「スピアフィッシング攻撃」だったとTwitterが説明した。「特定の従業員に判断を誤らせ、人間の脆弱性を悪用して内部システムにアクセス」したとしている。
米Twitterは7月30日(現地時間)、15日に発生した著名人アカウントの大量乗っ取り・偽ツイート事件の調査の経過報告を行った。攻撃の手口は従業員へのスマートフォンによる「スピアフィッシング攻撃」だと説明した。
スピアフィッシングとは、特定の人物に狙いを定めて攻撃するフィッシングだ。攻撃者は標的にする人物に関する情報を事前に集め、精巧な「えさ」を準備する。
Twitterは「この攻撃は、特定の従業員に判断を誤らせ、人間の脆弱性を悪用して内部システムにアクセスするという巧妙で協調的な手口によるものだ」と説明した。例えば、従業員になりすまして標的とする内部システムへのアクセス権を持つ従業員と親しくなり、何らかの「えさ」と引き換えに資格情報を見せてもらったのかもしれない。「これは、われわれのチームの各個人がわれわれのサービスを守るためにいかに重要であるかを印象づけた」という。
同社はまた、前回の経過報告では8アカウントから「Twitterデータ」がダウンロードされたとしていたところを、7アカウントに訂正した。
Twitterは、この事件後、従業員によるデータへのアクセスレベルについての懸念が高まったことを受け、アカウントサポートのための独自ツールがあるが、このツールへのアクセスは厳しく制限されていると説明した。今回の事件を受け、これらのツールをさらに高度化する方法について鋭意検討しているという。
調査完了まで、内部ツールへのアクセスを大幅に制限しており、そのためデータダウンロード機能と「Twitterデータ」へのアクセス機能がいまだ制限されており、開発者プラットフォームへの対応が遅くなっているとし、こうした遅延について謝罪した。
この事件は、15日にビル・ゲイツ氏、イーロン・マスク氏、バラク・オバマ氏など多数の著名人が突然ビットコイン詐欺ツイートを投稿したというもの。攻撃者はまだ判明しておらず、現在米連邦捜査局(FBI)が捜査中だ。
関連記事
- Twitterの大量アカウント乗っ取り続報 「攻撃者は36アカウントのDM受信箱にアクセス」
Twitterのビル・ゲイツ氏などの著名人アカウントからビットコイン詐欺のツイートが投稿された件の調査経過報告として、攻撃者が36のアカウントのDM受信ボックスにアクセスしたとTwitterが発表した。 - Twitter大規模乗っ取り、ターゲットは130人、偽ツイートは45人、「Twitterデータ」をダウンロードされたのは8人──公式発表
ビル・ゲイツ氏やバラク・オバマ氏など、著名人のTwitterアカウントがほぼ同時にビットコイン詐欺ツイートを投稿した事件について、Twitterが調査経過を公式ブログで報告した。詐欺ツイートをさせられたアカウントは45件で、最大8アカウントから「Twitterデータ」がダウンロードされた。 - Twitterの大規模乗っ取り、犯人は21歳のSIMスワッパーか──Krebs on Security報道
ビル・ゲイツ氏などの著名人のTwitterアカウントが乗っ取られ、詐欺ツイートを投稿した問題について、この件に関与したのが悪名高い「SIMスワッパー」の英国出身の若者である可能性が高いとKrebs on Securityが報じた。 - Twitterの大規模アカウントハッキング、FBIが捜査開始
Apple公式やビル・ゲイツ氏など、多数の認証済みアカウントが乗っ取られ、ビットコイン詐欺ツイートを投稿した問題について、FBIが捜査に乗り出したとReutersが報じた。Twitterは24時間体制で調査中として経過をツイートで報告している。 - Twitterのセレブアカウントハック、「高権限従業員標的のソーシャルエンジニアリング攻撃」の可能性
Appleやイーロン・マスク氏など著名人(団体)のTwitterアカウントがいっせいに暗号通貨詐欺ツイートをした問題の原因を調査しているTwitterが、経過報告の中で、高い権限を持つ従業員へのソーシャルエンジニアリング攻撃らしきものを検出したと発表した。 - AppleやマスクCEOなど多数のセレブTwitterアカウントが乗っ取られ、暗号通貨詐欺に悪用される
Apple、イーロン・マスク氏、バラク・オバマ氏、一連の暗号通貨企業などのTwitterアカウントが乗っ取られ、暗号通貨詐欺に悪用された。Twitterが調査中だ。
関連リンク
Copyright © ITmedia, Inc. All Rights Reserved.