Twitterフィッシングサイトとは
更新日時：
作成日：2012年3月14日
現在Twitterで最も多いスパムはTwitterフィッシングサイトへの誘導を目的としたスパムDMです。
スパムの内容としては、フォロワーを装って「貴方の悪口が書かれています」など中には「Twitterスパムを自動で制御する機能があります」という内容でまであります。
そのスパムに「Twitterのログイン画面に見せかけたフィッシングサイトへのリンク」が貼られており、送られてくきたフォロワーは不審に思わずフィッシングサイトへユーザー名・パスワードを入力してしまう。その為アカウントが乗っ取られる被害が相次いでいます。また、送信者もスパムDMを送信したことに気づいていません。
Twitterフィッシングサイトへの誘導を目的としたスパムDMとは？
Twitterフィッシングサイトとは、Twitterと見た目は全く同じように作られていますが、全く別物です。
これらの目的は、Twitterの「ユーザー名」「パスワード」を騙し取り、スパムやウイルス（マルウェア）の配布やダイエットサプリなどの医薬品の宣伝等を行います。また第三者が手ごまを増やすため、フィッシングサイトへのリンクを貼ったDMをフォロワーへ勝手に送信するなどTwitterでの信用を失いかねません。
現在のTwitterフィッシングサイト
乗っ取られたらどうなるの？
乗っ取られたアカウントは、スパムツイートやフォロワーへのスパムDMの送信を行われてしまいます。
スパムDMの内容は様々ですが、出回っている一部として以下の英文が挙げられます。
「Hey this user is making really bad rumors about you… http://fishingsite」
近頃、Twitterでは「URL」の部分の文字数削減の為、短縮URLが広く使われるようになりました。
例えば、「http://twitterspam.info/twitter-fishing-hijacking」
このURLは49文字ありますが、短縮URLを使うと…
「http://bit.ly/NMYZ8t」なんと21文字まで短縮できてしまいます。
しかしながら、便利さに潜む危険もあります。もしフィッシングサイトへの誘導で使われたらどうでしょう。
例えば「http://twitter-fishing-site」なんてURLだったとしたら、誰も開きませんが
「http://j.mp/pyKZM7」のように短縮されていたら、クリックしてしまうユーザーは少なからずいることでしょう。
万が一URLにアクセスしてしまった場合は、IDやパスワードを入力しないようにご注意下さい。
スパムツイートについては、ダイエットサプリなどの医薬品の宣伝などといった内容で、以下の画像はそのツイートにリンクされているサイトです。
こういった内容のスパムDMやツイートを乗っ取ったアカウントを使って一斉送信していまいます。
Twitterでの友人や知人がスパマーだと勘違いしてスパム報告・ブロックされてしまうケースもあります。事情を説明して誤解を解いてもらいましょう。
送信したことに気づいた場合は二次被害を防ぐためにも早急に対処しましょう。対処については下記の「アカウントが乗っ取られた場合」を見て下さい。
アカウントが乗っ取られた場合
TwitterフィッシングサイトにID・パスワードを入力してしまった場合は「Twitterフィッシングサイトでアカウントが乗っ取られた場合の対処方法」をご参照下さい。
実際にTwitterフィッシングサイトにログインしました。
※絶対に真似しないでください。
どのような手口で乗っ取られるのか実際に試してみました。
まず、フィッシングサイトにアクセスします。Twitterの旧ロゴが設置されています。
Username or email ：ユーザー名またはメールアドレスを入力
Password:パスワードを入力
Sign in:サインをクリックします。
Twitter公式サイトへリダイレクトされました。見た目ではこのようにTwitterへログインに失敗したと勘違いさせられてしまいますが、裏側ではちゃんと入力した情報が全て第三者へ送信されています。
フィッシングサイトへアクセスすると警告が表示される
最近のブラウザやセキュリティ対策ソフトには「フィッシングサイト対策機能」というものが搭載されていまが、ドメインが変動するためで防ぎきれていません。
「フィッシングサイト対策機能」の仕組みは、ブラックリストからフィッシングサイトか参照し警告するようになっています。ブラックリストへ登録されるまでに新たなTwitterフィッシングサイトを開設されると全く役に立ちません。その為ユーザー自信で判別するということが必要になります。
フィッシングサイトを本物か見分けるには
フィッシングサイトへ引っかからない為の今後の対策について
フィッシングサイトはTwitterだけではありません。IDとパスワードでログイン出来るサイトに言えることで、特に銀行のネットバンキングなどのフィッシングサイトが増え続けています。これらの基本的な判別方法(例外もありますが)としては以下の方法が挙げられます。
フィッシングサイトのドメインに注目してみてください。
Twitterの場合は、「twitter.com,twitter.jp,.twitter.com」になります。海外の場合は「twitter.fr,twitter.de」などとトップレベルドメインが変わりますが、全てtwitter.comへリダイレクトされます。
それに対し、フィッシングサイトは「twittelr.com,tvvitiler.com」などと何処かしらドメインが異なります。ログインする場合は必ずTwitter.comであることを再度、確認してください。
