かつてツイッターとして知られ、イーロン・マスクが2022年10月に買収して以降Xへと名称を変えたこのSNSの月間アクティブユーザー数は、たったの6億人ほどに「すぎない」。約30億人を集めるフェイスブックと比べれば少ないが、だからといってサイバー犯罪者の標的になっていないわけではない。
ここで取り上げるのは、パスワードの使い回しや流出によるXアカウントの乗っ取りではなく、プラットフォーム自身から届いたように見えて実はフィッシング攻撃（偽サイトに誘導して認証情報などを盗み取る攻撃）である「警告」通知が、現在も日常的に使われ続けているという問題だ。
もちろん、この手口自体は新しいものではない。筆者は5月に出回った「コミュニティガイドライン違反」を装う通知について報じており、それ以前には「著作権侵害」を装う通知についても伝えている。
英紙ガーディアンが報じた最新の攻撃では、「Xが送信する正規のログイン通知のほぼ完全な複製」と評される偽メールが使われており、書式も配色もロゴも文面も本物そっくりだという。偽メールは、新しい端末からのログインが成功したことと、そのログイン元の場所を知らせてくる。
どちらも受信者には身に覚えがないため、ハッカーに侵入されたと思い、反射的にアカウントを守ろうとしてしまう。だが、パスワードを変更したり、アプリによるアクセスを確認したりするためのリンクをたどると、ユーザーは、まさに防ごうとしていたはずの攻撃の被害者になってしまうのである。
ほぼピクセル単位で複製されたXのログイン通知
パスワード管理大手Keeper SecurityのCEO、ダレン・グッチョーネは筆者の取材に対し、今回のフィッシングキャンペーンは、Xユーザーを狙う攻撃者が「本物らしさ」を作り込む腕をどれほど上げてきたかを示すものだと語った。
「これらのメールは、Xのログイン通知をほぼピクセル単位で再現しています」とグッチョーネは言う。送信元アドレスや、埋め込まれたリンクの実際のリンク先といった見破る手がかりは、「切迫した状況では見落としやすい」。
そして当然ながら、受信者を焦らせる仕掛けには事欠かない。「新しい端末からあなたのアカウントへのログインが確認されました。これはあなたの操作ですか？」という文言でまず不安をかき立て、「心当たりがない場合は、アカウントを保護するため、今すぐ以下の手順を完了してください」という目を引くリンクで、急いで対応するよう迫ってくるのだ。
メールやダイレクトメッセージで届くパスワードの要求は、まず詐欺だと考える
Xユーザーに限らず、ログイン警告を受け取ったすべての人への助言はシンプルだ。メールやSMS、通知の中にあるログイン用リンクは、決してクリックしないこと。「プラットフォームには直接アクセスしてください。そして、メールやダイレクトメッセージで届くパスワードの要求は、まず詐欺だと考えて対処してください」とグッチョーネは助言する。
X自身も、「Xが添付ファイル付きのメールを送信したり、メールでXのパスワードを尋ねたりすることは決してありません」と明言している。
