Twitterの乗っ取り事件について

質問

Twitterでたまにアカウント乗っ取られる人いるじゃないですか
乗っ取る側の人ってやっぱりプロなんですかね？
冷静に考えて、パスワードを特定することってできないと思うんです
あのゆたぽんのアカウントが乗っ取れたときも、一体どうやって乗っ取ったんだって思ってしまいました。そんなに乗っ取りは簡単に行われてしまうのですか？
総当たりについても調べてみましたが、やはり何回かパスワードを間違えるとロックみたいなのがかかりますし、
○○を連携するとアカウント乗っ取られるよ！っていうのもたまに見かけますが、
それは勢いよく拡散されて皆連携しなくなりますし
教えてほしいです

回答No.4

4017B · ベストアンサー

Twitterアカウントの「乗っ取り」の手口ですが、最近で最も多いのは「偽アプリの導入」ですね。

AppleとかYoutubeみたいな、誰でも知ってて良く使う大手有名企業の公式アプリにそっくりの偽アプリを作り、それをスマホとかにインストールさせて騙されたUserが使う時に「最初にIDとパスワードを入力してください」みたいなメッセージで相手のIDとパスワードを入力させて、その瞬間に裏で詐欺サイトのサーバへデータが一瞬で送信される仕組みです。被害者が乗っ取りに気付いてすぐにアカウントのパスワード変更などの対策を取れない様に、偽アプリ側ではこの時点では「処理に時間がかかっています…」と表示させて置いて、実際には何もせずに裏で犯行が完了するまでの時間を稼ぐ様にしています。

他には単純に、インターネットの闇市場で定期的に数百万件単位でのパスワード流出事件とかあるので。それを闇市場で購入して、その中にあるIDとパスワードを手当たりしだいに入力して当たるのを待つやり方ですね。無論、これは手作業では無く、PCのそれ専用のツールを使って1時間で数万件単位でアタックを掛けます。流出したのが全然、別のwebサービスのモノであっても、世の中の99%の人は全てのパスワードを "自分専用パスワード(笑)" で使い回しているので。1万件に2～3件くらいは当たりが引けますね。

で、そうやってお目当てのwebサービスのアカウントに侵入する事に成功したら…まずは防犯対策(笑)！速攻でパスワードを変更して、元の持ち主が入れない様にします。この時にいわゆる「二段階認証(多重要素認証)」というモノを掛けて置くと、パスワード変更などの重要な項目に関してはその場ですぐには作業が完結せずに、事前に必ず「本当に変更してもよろしいですか？」みたいな確認メールが登録して置いたスマホに送信されて、そのメールに添付されている確認用の特別なリンクをクリックしないとパスワード変更が出来ない様になっています。

これをやって置けば、万が一に乗っ取りにあった場合でも、スマホごと盗まれたので無ければ最悪の事態だけは防げるという訳です。よくネット上で頻繁に「二段階認証にしましょう！」と言われているのはこのためです。

で、乗っ取り犯はプロなのか？という話ですが…まあ基本的にはそうですね。昔と違ってアカウント乗っ取りは、即犯罪行為として立件されて発覚すれば逮捕有罪となるので。ちょっとイタズラでやるにはリスクが大きいので、プロの犯罪組織がそれなりの人員と機材を使って大掛かりにやる事が多いです。ただし質問者が気になっている例の「少年革命家」の事件に関しては、金銭目的では無く明らかに愉快犯の人がやってますね。まあTwitterでイキって…もとい目立っている人のアカウントは、この手のハッカーによって24時間365日完全監視体制の中にあるので。一瞬でも気を抜けば、あっという間に乗っ取られてしまいますね。自称、嘘を見抜けるN村さんも乗っ取りでは無いですが、長年愛用してきたTwitterのアカウント名を第三者に取られてしまいましたね。

こうやって取得したアカウントはそれだけでは余り意味が無く。奪取した後、そのアカウントに紐付けられている他のwebサービスに代理ログイン出来る事に大きな価値があります。最近はちょっとゴタゴタしていますが、Twitterアカウントがあればそのまま簡単ログインできるwebサービスてかなり多いですよね。あとぶっちゃけ、Twitterアカウント自体にはほとんど価値が無くて。前述の通り、そのTwitterのIDとパスワードで使い回している他の本命のアカウント、この場合は大体はgmailですね。これを乗っ取る事が出来たらかなりの事が出来る様になるので。Twitterはそのための入り口に過ぎない場合が多いです。

後はまあ、長年使われて来たアカウントであれば、それなりにフォロワー数も多いだろうから。そこから第三の詐欺サイトへ誘導するためのスパムをばら撒くための拡散装置にするために、ガードが緩い利用者が多いTwitterはよく狙われます。他には自分では活用せずに、盗んだアカウントを闇市場で転売して利益を出す方法もあります。

お礼

すごく参考になりました！

Powered by GRATICA

回答No.3

MT765

Twitter乗っ取りのほとんどは連携アプリによるものです。

サードパーティアプリに書き込みやフォローアンフォローの権限を気づかないうちに与えてしまっていた場合、アカウントにログインしなくても勝手につぶやいたリフォローしたりプロフィールを改ざんしたりできてしまいます。
それが乗っ取りの正体でしょう。

＞それは勢いよく拡散されて皆連携しなくなりますし
いくら拡散されても気づかない人もいます。
（見かけても自分に関係あるとは気づかない）
そういう人が被害にあっているのだと思います。

お礼

アプリが原因なんですね

Powered by GRATICA

回答No.2

t_ohta

＞　乗っ取る側の人ってやっぱりプロなんですかね？

プロの定義って何ですかね。
一般的にプロは収入を得られている人を指すかと思いますが、アカウントの乗っ取りで収入を得られるかというとそうでは無いので、プロじゃ無い可能性もあります。
興味本位で他人のログインID使って入ってみたらできちゃったなんて愉快犯も多いです。

＞　冷静に考えて、パスワードを特定することってできないと思うんです

単純な総当たりでパスワードを見つけるのは仕組み上難しいですが、過去に流出した他サイトなどのパスワードと同じIDとパスワードの組合せで使っていると流出したリストを元にログインされてしまう可能性があります。
なので、セキュリティ対策としてパスワードの使い回しはダメですよと言われているのです。

他にもIDや名前、誕生日などから類推しやすいパスワードは乗っ取られる可能性が高くなります。

あとは内部犯もセキュリティ事件では多いです。
そのIDとパスワードを知り得る立場に居た人が犯人だったと言うのはよくある話です。

お礼

じゃああれは内部犯！？

Powered by GRATICA

回答No.1

121CCagent

>乗っ取る側の人ってやっぱりプロなんですかね？
そのあたりは流石にわかりません。

>そんなに乗っ取りは簡単に行われてしまうのですか？

Twitterで「SMS認証」終了、「認証アプリ」を使った2要素認証はどう設定したらいい？　その方法をチェック
https://k-tai.watch.impress.co.jp/docs/review/1487924.html
2要素認証などの設定をしていない場合は基本的にIDとパスワードで認証出来るので乗っ取りやすくはなりますね。

>総当たりについても調べてみましたが、
>やはり何回かパスワードを間違えると
>ロックみたいなのがかかりますし
普通は総当たり攻撃で簡単にクリアされないように一定時間に一定回数パスワードを間違えると一定時間ロックされることが一般的ですね。

意外と多いのがパスワードの使い回しでパスワードが推測されるとかでしょうか。

お礼

やっぱり使いまわしはやばいですね

Powered by GRATICA