X上で「あなたをブロックしている人の状況を確認できる」とうたうWebサービスへの注意喚起が広がっている。ITmedia NEWS編集部がページのソースコードを確認したところ、入力したIDとパスワードを暗号化せずに外部サーバへ送信する処理が含まれていたことが判明し、危険性が指摘されている。
事案の詳細
今回話題となったのは、Xの利用者に対し「自分をブロックした相手が分かる」「ブロックしている人数が診断できる」とうたうWebサイトだ。SNS上で拡散し、「ブロックされているかどうか」を気にするユーザーの関心を集め、興味本位でアクセスする人が増える状況が生まれた。
ITmedia NEWS編集部がこのサイトのソースコードを確認したところ、利用者が入力したXのIDとパスワードを、そのまま外部のサーバへ送信する仕組みが組み込まれていた。サイトの説明や誘導文面とは無関係に、入力情報が第三者に渡り得る設計になっており、認証情報を盗むフィッシングサイトとみられる。
問題のサイトは、米Cloudflareの無料ホスティングサービス上で作成されたものだった。でたらめなIDとパスワードを入力して「ブロックをチェックする」ボタンを押しても「診断完了」と表示され、「ブロックしている人数」として数値が出るが、この数値はページ内のスクリプトが生成した乱数であり、実在しないアカウントのIDを入れても人数が表示されるなど、結果に信頼性は全くない構造だった。
入力された情報の送信先はCloudflare上に用意された特定のアドレス1カ所のみで、ボタンを押すとIDとパスワードを暗号化せずにそのアドレスへ送る仕組みになっていた。送信先のアドレスにはXの旧称をもじった文字列が使われていたという。
この種のサイトでは、利用者が案内に従ってアカウント情報を入力してしまうと、その時点で認証情報が外部に渡る可能性がある。現時点で、何人が入力したかといった利用者数や、実際の被害の有無・範囲についての詳細は不明だが、認証情報を窃取する目的のフィッシングである可能性が高いとみられている。
影響と背景
XのアカウントIDとパスワードは、本人になりすましてログインするための鍵にあたる。これが外部に送られる構造であれば、アカウントそのものの安全性に直結し、乗っ取りや不正投稿などのリスクが生じる。SNSでは「誰にブロックされているか」といった感情や関心を刺激するテーマが拡散しやすく、そこに「簡単に分かる」「診断できる」といった誘い文句が結び付くことで、冷静な確認を飛ばして入力してしまう土壌が生まれやすい。
対策・今後の展望
今回のように、XのIDとパスワードなど認証情報の入力を求める外部サイトは慎重に扱う必要がある。特に、SNS上で急に広まった「便利機能」や「診断ツール」「判定ツール」を名乗るサイトは、入力前に立ち止まり、公式の案内かどうかを確認することが重要だ。
- IDとパスワードを外部サイトへ入力しない：SNSのログイン情報は、公式のログイン画面や正規の手順以外で求められた場合、まず疑う。ブラウザのアドレスバーや運営者情報を確認し、X公式や信頼できる事業者でないサイトには入力しない。
- 拡散情報をうのみにしない：短時間で広まる話題ほど、リンク先や説明の妥当性を確認し、安易に試さない。真偽不明の「診断サイト」「判定サイト」については、情報セキュリティに関する注意喚起や報道にも目を通し、危険性が指摘されていないか確認する。
- 入力してしまった場合は早急にパスワードを変更する：認証情報の流出が疑われるときは、被害が出ていなくても先に手当てする。Xのパスワードを直ちに変更し、ログイン履歴や不審な投稿の有無を確認するとともに、二要素認証を有効化するなど防御策を講じる。
CSRIからの現場アドバイス
【現場で何が起きているか】CSRIの中小企業支援の現場では、SNSやクラウドサービスの認証情報が個人任せになっており、共有端末やブラウザに保存されたまま放置される例が目立つ。マネージド型のセキュリティ監視サービス（MDR）でも、外部の不審サイトへの入力をきっかけに資格情報が悪用される兆候が課題として挙がりやすい。
【平易な解説】例えるなら、会社の合鍵（IDとパスワード）を「便利な案内所」と称する見知らぬ窓口に預けるようなものです。画面上はもっともらしく見えても、裏側で外部に送られる仕組みがあれば、鍵を渡した相手があなたの代わりに社内へ自由に出入りできる状態になり得ます。
【今週中にできること】まず社内で「SNSや各種クラウドサービスのID・パスワードを外部サイトに入力しない」ルールを明文化し、従業員に周知してください。次に、業務に使うアカウントのパスワード変更手順と問い合わせ窓口を確認し、万一誤って入力してしまった場合に当日中に変更できる体制を、情報システム担当者や管理者に共有しましょう。