8月5日、SNS「X（旧Twitter）」上で、自分をブロックした人が分かると称するWebサイトへの注意を呼びかける投稿が広がった。ITmedia NEWS編集部がこのサイトのソースコード（プログラムの内部構造）を確認したところ、利用者が入力したIDとパスワードがそのまま外部のサーバーに送信される仕組みになっていることが分かった。
30秒でわかるポイント
- 「ブロックした人が分かる」と宣伝するサイトがX上で拡散
- ITmedia NEWS編集部の調査で、入力したID・パスワードが外部サーバーへ送信される作りだと判明
- 表示される「ブロックした人数」もランダムな数値にすぎないことが確認された
どんなサイトが拡散していたのか
問題のサイトは、Xのアカウント情報を入力すると「あなたをブロックしている人」が分かると宣伝していた。
こうした「ブロック確認」を名目にしたサービスは、興味を引きやすい内容のため拡散されやすい傾向がある。今回もX上で注意喚起の投稿が広まったことで、多くの利用者の目に触れる形となった。
ソースコードで判明した仕組み
ITmedia NEWS編集部が実際にこのサイトのソースコードを調べたところ、次のような実態が確認された。
- 入力されたIDとパスワードが外部のサーバーへそのまま送信される作り
- 画面に表示される「ブロックした人数」は実際のデータに基づかないランダムな数値
つまり、サイトが表示する結果に根拠はなく、入力した認証情報だけが外部に送られる状態だったとみられる。
利用者への影響と注意点
このようなサイトにIDとパスワードを入力してしまうと、アカウント情報が本人の知らないところで第三者に渡る可能性がある。
SNSの認証情報は、なりすましや不正ログインなど悪用のリスクにつながりかねないため、公式サイト以外でIDやパスワードを入力する際は注意が必要とされる。
「ブロックした人が分かる」といった好奇心をあおる文言は、こうした情報収集を目的としたサイトでよく使われる手口の一つと考えられる。
まとめ
8月5日、Xのブロック状況を確認できると称するサイトについて、ITmedia NEWS編集部の調査でID・パスワードが外部に送信される仕組みだったことが明らかになった。表示される人数もランダムな数値であり、実態のない情報を示していたとみられる。SNSの認証情報を求めるサイトを利用する際は、提供元や仕組みを確認する慎重さが求められる。
出典: ITmedia NEWS