急増するTwitter乗っ取り被害‼︎知らなかったではすまされない‼︎【対策方法】

たまに「著名人のTwitterのアカウントを乗っ取られた」なんて話を聞くが、TwitterはSNSの中でも拡散性の高さから狙われやすく、いつわれわれのアカウントが狙われてもおかしくない。

そこで、マカフィーの公式ブログ「Twitter乗っ取り被害にあったときの確認方法・解除法の全手順と予防策」をもとに、Twitterの乗っ取りの確認方法、解除方法、予防法を整理してみたい。

○Twitterの乗っ取りとは?

Twitterにおける乗っ取りは、アカウントの持ち主以外の第三者にTwitterを操作されることを指す。具体的には、ツイートやフォロー、DMの送信、アイコンやホーム画面の画像の変更などを行われてしまう。

攻撃者はTwitterを乗っ取ることで、ユーザーを踏み台として、スパムツイートやマルウェアに感染させるようなWebサイトに誘導するツイートを間接的に行うことが可能になる。また、有名人や有名企業のアカウントを乗っ取れば、イメージを失墜させることができる。

乗っ取る方法は2つある。１つは、ユーザーのIDとパスワードを盗み出し、ユーザーになりすましてログインするケースだ。もう１つは、DMを許可するような連携アプリを悪用してツイートやフォローなどを行うケースだ。なお、SNSのIDとパスワードを盗まれて乗っ取られるというケースは少なく、実際には「連携アプリ」が原因のケースがほとんどだという。

○乗っ取られているかどうかを確認する方法

Twitterのアカウントが乗っ取られているかどうかを確認する方法の1つが、自分のツイート履歴の確認だ。履歴に不審なツイートがあれば、乗っ取られている可能性がある。また、フォロワーが大量に増えていないかどうかも確認しておきたい。さらに、ログイン履歴を参照することで、ログインに用いたアプリと日時、場所を確認できる。

PCからの確認方法

PCからツイートの履歴を確認する際は、Twitterのトップページの左側にある「ツイート」「フォロー」をクリックすればよい。ここで、最新の情報を確認できるので、心当たりのないものがあるかどうかを確認する。

また、PCからのログイン履歴は「Twitterデータ」で確認できる。トップページの右上にある自分のアイコンをクリック、「プロフィールと設定」のプルダウンメニューが表示されるので「設定とプライバシー」を選択すると、左側のメニューに「Twitterデータ」が表示される。ここで、「アカウントアクセス履歴」を確認する。

「アカウントアクセス履歴」では、過去10件のログインに使用したアプリ名、ログインした時間、IPアドレスから割り出した場所が表示される。

スマートフォンからの確認方法

スマホアプリからツイートの履歴を確認する際は、アプリのホーム（家のアイコン）画面から自分のアイコンをタップするか、画面を右にフリックすると表示される設定メニューから、自分のアカウント名をタップすればよい。設定メニューから「フォロー中」をタップすると、フォローの履歴を確認できる。

また、スマホアプリからログイン履歴を確認するには、設定メニューから「設定とプライバシー」を選択し、「アカウント」→「Twitterデータ」をタップする。「データ」タブから、「アカウントアクセス履歴」を確認できる。

○乗っ取りを解除する方法

上記の方法で履歴に心当たりのないツイートやフォローを発見した場合は、アカウントが乗っ取られている可能性がある。不正なログインによる乗っ取りは、パスワードを変更することでブロックできる。また、連携アプリが勝手にツイートしている場合は、連携を解除することでブロックできる。

パスワードを変更する方法

攻撃者にパスワードを変えられてしまっていても、設定でパスワードを変更すれば、その攻撃者に再度不正ログインされることを防ぐことができる。また、登録メールアドレスが変更されていても、Twitterには救済策が用意されている。パスワードの設定はスマートフォンのアプリから行えないため、スマホから行う際はWebブラウザでTwitterにアクセスする必要がある。

PCからパスワードを変更する場合は、Webブラウザで「プロフィールと設定」からユーザー情報のページを開き、左側のメニューから「パスワード」をクリックする。

攻撃者にパスワードを変更されている場合は、「パスワードを忘れた場合はこちら」をクリックすると、Twitterに登録してあるメールアドレスなどが表示されるので、連絡方法を選んで新たなパスワードを送信してもらう。メールアドレスを変更されている場合は、「いずれにもアクセスできません」をクリックすると、ヘルプセンターに問い合わせることができる。

スマホアプリからパスワードを変更するには、「設定とプライバシー」から「アカウント」をタップし、アカウントの設定ページを表示する。ここから、「ログインとセキュリティ」にある「パスワード」を選ぶと、「パスワードを変更」の画面が開く。

パスワードとメールアドレスを変更されてしまっていた場合、スマホアプリでも、PCと同様の方法で対処できる。

連携アプリを解除する方法

Twitterでは、Facebookなどさまざまなアプリと連携することができる。占いや性格診断、おトクなクーポンなど、興味を引くようなアプリの中には、この連携機能を悪用するものもあるという。こうしたアプリをインストールする際、ツイートやフォロー、DMを利用すると表示されているはずだが、多くのユーザーはそれを確認せずにインストールしてしまう。

その結果、アプリによってスパムツイートやウイルスサイトに誘導するようなツイートをされたり、同様のDMを大量送信されたり、勝手に大量のTwitterユーザーをフォローされたり、フォローを解除されたりする。乗っ取りと思われるほとんどのケースは、連携機能を悪用しているという。

Twitterも連携機能を悪用するケースを把握しており、「Twitterデータ」で連携アプリを確認し、連携を解除できるようにしている。この機能はTwitter公式アプリからも利用できる。

PCから連携機能を確認・解除するには、「Twitterデータ」で行う。Twitterデータの画面が開いたら、「アカウントアクセス履歴」にある「アプリ連携」をクリックすると、Twitterアカウントへのアクセスが許可された連携アプリが一覧表示される。不要なアプリは「許可を取り消す」をクリックして連携を解除する。

スマホアプリから連携機能を確認・解除するには、設定メニューから「設定とプライバシー」をタップし、「アカウント」→「Twitterデータ」とタップする。「データ」タブから「アカウントアクセス履歴」をタップすると、「Twitter」という画面が表示されるので、「アプリ連携」をタップする。これで、連携アプリの一覧が表示されるので、不要と思われるアプリ名をタップし、詳細画面で「アクセス権を取り消す」をタップする。

○乗っ取りの予防策

これまで説明したように、Twitterの乗っ取りのパターンは、攻撃者がユーザーのIDとパスワードを入手してログインする場合と、連携アプリをインストールする際にツイートやフォローなどを許可してしまう場合の2種類がある。したがって、乗っ取りを予防するには、ログイン情報と連携アプリを管理する必要がある。

ログイン情報の管理

攻撃者がログイン情報を入手する手口には、「フィッシングサイトで入力させる」「ログイン試行を行う」などがある。

フィッシングは、偽メールや偽ツイートなどにより、本物に見せかけた詐欺サイトへ誘導する手法。Twitterにおいては、おトクなキャンペーンや大量のポイントがもらえるアンケート、占いや性格・恋愛診断などのサービスを装って、利用するためにはログインが必要であるとして、IDとパスワードを入力させ、盗み出すという。

また、ログイン試行は複数のTwitterアカウントに対し、大量のパスワードによってログインを試みる手法。ただし、一定回数以上ログインに失敗すると一時的にアカウントがロックされるため、他のサービスから漏洩したIDとパスワードの組み合わせをTwitterで試すケースもあるという。複数のサービスでパスワードを使い回すユーザーが多いので、これによりログインできてしまう可能性が高いとのこと。

こうした不正アクセスを予防するには、「推測されづらいパスワードにすること」や、「パスワードを使い回さないこと」が重要となる。

連携アプリの管理

連携アプリはフィッシングと同様に、おトクなキャンペーンや大量のポイントがもらえるアンケート、占いや性格・恋愛診断などのアプリとして提供され、インストールしてしまうと連携機能を悪用してツイートやフォロー、DMの送信などを行うという。

Androidアプリは、インストール時にアプリがアクセスする項目が表示されるので、悪意のある活動の可能性を確認できる。一方、iOSアプリはインストール時にアクセス項目が表示されず、アプリが機能にアクセスしようとした時にアラートが表示される仕組みになっている。ただし、ツイートやフォローはアラートが表示されないようなので、インストール時に提供元などの情報で判断する必要があるという。

Twitter連携アプリによる意図しないツイートやフォローを防ぐには、定期的にツイートやフォローの履歴や連携アプリをチェックして、怪しい動作により早く気づくことが大切とのこと。

そのほか、「他人ごとと考えない」「知り合いや有名人のツイートでも信用しない」ことも、予防策として紹介されている。


簡単に対策出来るから、SNSの乗っ取り対策はしっかりとね^ ^