X Moneyの展開、パスワードリセット攻撃と関連か

Xは、決済サービス「X Money」の提供範囲が拡大したことを受け、攻撃者がアカウントを標的にしている可能性があると発表しました。

同社は現在、ユーザー宛てに送信された身に覚えのないパスワードリセットメールの急増について調査を進めています。X Moneyの展開拡大と時期が重なったことでアカウント乗っ取りへの懸念が広がっていますが、Xによれば、これまでのところ侵害やアカウント乗っ取りの成功を示す証拠は見つかっていないとのことです。

Xのユーザーからは、9月1日以降、身に覚えのないパスワードリセットメールやコードを受け取ったという報告が相次いでいます。X製品エンジニアのMridul Singhai氏は、公開投稿で次のように述べています。

「攻撃者たちは、@XMoneyが広く利用可能になった今、アカウントへの不正アクセスが可能になると考えているようです」

Singhai氏は、Xがこの件を積極的に調査していることを明らかにし、繰り返しメールが届いたことについて謝罪した上で、同社としては「侵害の証拠は一切見つかっていない」と付け加えました。

X Moneyは、米国内の対象ユーザーに対し、利息付き口座、Visaデビットカード、個人間送金といったX内での金融サービス利用を可能にするものです。このサービスを支える銀行インフラは、Cross River Bankが提供しています。

これにより、一部のXアカウントは、より魅力的な標的になっている可能性があります。特に、決済機能へのアクセス権を持つアカウント、フォロワー数の多いアカウント、ビジネス用途のアカウント、あるいはソーシャルエンジニアリングに悪用しやすいアカウントなどが該当します。

今回の活動自体は、攻撃者がXアカウントに対して大量にパスワードリセット要求を送信しているものと一致しているようです。ただし、パスワードリセットの要求とパスワードのリセット自体は別物であり、いずれもそれだけで直ちにアカウント乗っ取りを意味するわけではありません。Xの復旧プロセスでは、リセットを完了するために、そのアカウントに紐づいたメールアドレスまたは電話番号へのアクセスが必要となります。

何者かがX Moneyのアカウントや資金にアクセスしたことを示す証拠は現時点でありません。また、Xも、X Moneyが今回のパスワードリセット関連の活動の原因であるとは確認していません。時期が重なっている点は注目に値するものの、それだけでは両者の技術的な因果関係が証明されるわけではありません。

今年の初めには、Instagramのパスワードリセットメールが大量に送りつけられる事案が発生しており、決済サービスを持たないプラットフォームでも同様の事態が起こり得ることが示されています。

今回の件も、実はより深刻な事態を隠す隠れ蓑になっている可能性があります。攻撃者がリセットを完了できなかったとしても、一見正当に見えるリセットメッセージが大量に送りつけられることで、詐欺行為を巧妙に覆い隠す効果が生まれる場合があるためです。

リセット要求の大量送信は、嫌がらせの手段として使われることもあります。繰り返し届くメッセージによって、ユーザーが不必要にパスワードを変更してしまったり、本来重視すべき重要なセキュリティ通知が埋もれてしまったり、あるいは通知を止めようとしてセキュリティ機能を無効にしてしまったりする恐れがあります。

安全を守るために

身に覚えのないXのパスワードリセットメールを受け取った場合は、以下の対策を取ってください。

• 身に覚えのないメッセージ内のリンクをクリックしたり、コードを入力したりしない。アカウント設定を確認・変更したい場合は、Xアプリを開くか、自分でブラウザにx.comと入力してアクセスしてください。
• リセットコードや二要素認証コードを他人に教えない。サポート担当者、広告主、「セキュリティチーム」などが、これらのコードを予告なく尋ねてくることはありません。
• パスワードリセット保護機能をオンにする。Xによれば、この設定を有効にすると、リセットリンクやコードを送信する前に、メールアドレスや電話番号といった追加のアカウント情報の確認が必要になります。この機能は「設定とプライバシー」＞「アカウント」＞「セキュリティ」＞「パスワードリセット保護」から利用できます。
• 二要素認証を利用する。可能であれば認証アプリやセキュリティキーの使用が望ましいです。これにより、パスワードが入手または推測された場合でも、追加の確認ステップが加わります。
• 固有の強力なパスワードを使用する。Xで使っているパスワードを他のサービスでも使い回している場合は、メール内のリンクからではなく、Xの設定画面から変更してください。
• 実際のアカウント乗っ取りの兆候に注意する。見覚えのない投稿やダイレクトメッセージ、プロフィールの変更、ログイン通知、身に覚えのない連携アプリなどが挙げられます。
• フィッシングにも警戒する。消費者にとって現時点で最も差し迫ったリスクは、X自体の欠陥そのものではなく、リセット手続きを装ったフィッシングかもしれません。本物のリセットメールが同時期に届いている状況では、偽のメッセージが特に本物らしく見えてしまう恐れがあります。
• 保護対策を導入する。常に最新の状態を保つリアルタイム型のアンチマルウェアソリューションにウェブ保護機能が備わっていれば、悪意のあるサイトや詐欺サイトについて警告を受けられます。

受け取ったメッセージが本物かどうか判断に迷う場合は、Malwarebytes Scam Guardを使って確認し、次に取るべき対応についてアドバイスを受けることができます。

詐欺師は、あなたをハッキングする必要すらありません。一度クリックさせるだけで十分なのです。 

Malwarebytes Identity Theft Protectionは、問題化する前に不審な動きを検知します。