最近Instagramの乗っ取りを見かけるようになった気がする（時々見るやつ）
皆さんこんにちは、紫夜千景です。
明日で受けてる講義が最終日なので頑張ります。
AIの講義ですが受けてて楽しかったです。
今日は、ここ最近目立ってるInstagramの乗っ取りのお話です。
急に流行りだしましたよね。
どうやらこんなメッセージが送られてくるのが発端だそうです。
最初見た時、「あー、前回取り上げた時と似てる手口だなー」と感じました。
誘導を仕掛けるとなるとDMが圧倒的便利ですからね。
ただ、今回の手口は「アンケートに協力するようにお願いする」で前回の時は「リンクを直接送ってくる」だったのでそこが違いですからね。
ちなみに無視すると「なんで無視したん」的なメッセージが来るそうです。ヤンデレかこやつ。こっちが何もしてないのに一方的に押し付けてくるヤンデレは好きじゃない。
今好きなのはうみたき、ういさき、ここしず、モナカトだ覚えとけ。これらにヤンデレならまだ許す。
そして、アンケートに協力してほしい旨を伝えられるんですがその際に何故か「SMSでアンケートリンク送るから電話番号教えてよ」と聞かれます。
なんでSMSで送る必要があるんですか（正論）そうだよ（便乗）
最近のInstagramってリンク送るとなんか制限でもかかるような仕様なんでしょうか？
それだったら賢いですね。でも、それ以外の狙いがあるでしょうね。
もちろん、ここで電話番号を教えてしまうとヤバイことになります。
ちなみにSMSとは、簡単に言えばLINEやInstagramのDMもどき。説明端折る。
話を戻しますが、ここで以下の条件に当てはまる人は電話番号を教えた時点でアカウントを乗っ取られると思います。
その条件は、「Instagramのアカウントに電話番号を登録している人」です。
実はInstagramの正式な機能のうちの一つに、「パスワードを忘れた場合」って機能があります。
これはInstagramのアカウントにパスワードを忘れてログインできなくなってしまった人用の救済措置です。
アカウントに登録されているメールアドレスや"電話番号"にパスワードを入力なくてもログインできるコードを送るそうです。
勘の良い人ならここで気づいたでしょう。
そう、パスワードなしでログインするために"電話番号"が必要なのです。
サービスの正式機能を悪用して不正にログインしたりする手口はよくあります。タチは悪い。カス。
しかし、それならそんなめんどくさいことせずにメールアドレスやユーザー名でも良いのだからユーザー名ですれば良いのでは？
それじゃダメなんです。
できるだけ最新の情報を調べてみたのですが、ここの入力する欄に「電話番号」と「それ以外」ではどうやら挙動が違うようです。
まず、登録ユーザー名やメールアドレスをここで入力すると、そのユーザー名が登録されているメールアドレスや入力した登録メールアドレスにパスワードをリセットするか、パスワードなしでログインする"メール"が送られてきます。
こんな感じのメール。
そのため、ユーザー名やメールアドレスでは意味がないのです。だって、メールアドレスにログインしないと意味がないから。そしてそれはメールアドレスもパスワードも入手する必要があるため攻撃者側からすればとんでもない苦労です。
しかし、「電話番号」を入力した際の挙動のみ、先ほどのものと違うんです。
電話番号を入力すると、"ログインするためのコード"がSMSに送られてきます。
電話番号を入力した画面、つまり攻撃者側の画面では先ほどのコードを入力する画面が出てきます。
そのコードさえ聞き出してしまえばログインできます。
基本的に電話番号って1人1つしか持ってませんからね。（スマホ好きな人とかは2つ以上持ってるときもあるみたいですが...）
実際、この方法って電話番号をInstagramのアカウントに登録していない人は攻撃の意味がないと思います。
だってログインする情報に電話番号が紐づいてないんだもん。
今回は電話番号をアカウントに紐づけていると仮定して話を進めます。
さて、どうやってコードを聞き出しましょうか...？
ここで皆さん、一番最初の画像を思い出しましょう。
そうです、この投票の結果を聞く際にさりげなく聞き出してしまえば良いのです！
例えば「投票すると、電話番号のSMSにコードが届くはずなんですけどそのコードを教えていただけませんか？」という雰囲気で聞いてみれば多少は有効的でしょう。
ここでコードを手に入れればログインできるわけです。
攻撃者側にログインされてしまえば、自分が即座に気づかない限りは止めようがありません。
即座に気づいたのなら、自分以外の端末からログアウトさせる機能がInstagramにはありますからそれを使えば良いのです。
攻撃者側はパスワードを知らない以上、上記の同じ手段をもう一度繰り返さないとログインできませんからね。
流石に2回目はできないでしょう。怪しまれる可能性あるし。
攻撃者はログインしたら、これを他のアカウントでもやってもらうためにDMの送り先に同じことを仕掛けるわけです。
そうすれば攻撃者は一石二鳥です。アカウントが一時的？に好きにできるわけですし、それができるアカウントが増えるわけですから。
こんな感じのメッセージが友人から送られてきたらその人は被害にあったということです。
画像で説明するとこんな感じです。画像の方が分かりやすいでしょでしょ。
1人乗っ取ればそこから芋づる式に増えてゆく。ああ便利。なんと便利。
ただこれ何故か攻撃者、パスワードとかセキュリティ設定変えずに乗っ取った直後これする時があるんですよね。
それなら、すぐ締め出したりパスワード変えたり、ログアウトさせたりで対抗できます。
ただし、攻撃者がパスワードやセキュリティ設定などを抜かりなくやってくる場合もあるので注意が必要です。
それを解説しだすとこの記事の終わりが見えなくなるので今回は書きません。また今度！
最後にとんでもないことを書くのですが、もしかしたらここに書いたこと全部間違っている可能性だってあるのでご注意ください。
あくまで予想です。当たってる部分もあれば外れてる部分もあると思います。
今回の手法の対策は、
・怪しいDMは無視する
・誰であろうと簡単に電話番号などの個人情報を教えない
・知らない人から送られてきたリンクや怪しいリンクにアクセスしない
ですね。
最後の項目は昔記事に書いてるのでそちらを見ていただければと思います。
この記事が少しでも対策になれば幸いです。
説明足りてないから後に補足する記事出すだろうなこれ。
コメント
コメントを投稿