利用料金チェッカーというサイトがあります。昨日から今日にかけ、このサイトと偽ったスパムツイートをするスパマーが現れ、フィッシング詐欺により、5000人以上のTwitterアカウントを乗っ取っています。今現在戦っているので、その途中経過を書きます。利用料金チェッカーツイート数やフォロー数リスト数に応じて、Twitterの利用料金がわかる、というパロディサイトです。リリース数日で、gigazineさんや、ねとらぼさんなどに取り上げてもらい、数日バズりました。リリース直後こそ瞬間的に大量のアクセスが来ましたが、それも数日で収まり、以降はたまに小規模のバズりがあり、という感じでした。このサイトが今日急にバズりました。「お、きたきた」と思って、Twitterの検索ページをしばらくウォッチしていました。作ったアプリがバズっている様子を見るのはアプリ作者としてとても楽しいんですよ。23時頃、ふとTLを眺めていると、自分のサイトの画像が見たことのないURLとともに貼られているツイートがあるではありませんか。検索すると、大量のユーザーがほぼおなじ文言でツイートをしている。クリックしてみると、認証ボタンがポツンとあるだけのページがでてきます。このボタンを押してみます。クリックするとTwitterの認証画面に飛びます。非常によく出来てて、「Twitterアカウント利用料金チェッカー」と書いてあります。これではつい認証してしまいますね。認証後、正しいサイトへリダイレクトされて、普通にサイトは動きます。Twitter→偽物の認証画面→本物のサイトと遷移するので、気づきにくいです。あとから、スパムツイートをされてはじめて気がつきます。上のダイアログの場合、普段から開発でこの画面を見ている人だったら、「必要のないWRITEを求めてきているのはちょっと怪しい」と気づけそうですが、この画面よく見るし、そもそもそんなこと考えたことのないユーザーが大半なんじゃないでしょうか。ちなみにTwitterの権限委譲の仕組み(OAuthといいます)は、以下の3種類があります。READ(DM以外の全データが見られる。ツイートはできない)READ/WRITE(DM以外の全データを見たり変更したりできる。ツイートしたりフォローしたりできる)READ/WRITE/DM(DMを含めなんでもできる)読み取りだけでいいのにWRITEを求めてくるアプリは怪しいです。ちなみにALLにする場合はTwitter社の審査があります。注意喚起の開始すぐに注意喚起のツイートをしました。4万人弱のフォロワーがいるので一定の効果があったと思います。いうときTwitterアカウントを運用していると、初動でしっかり動けますね。利用料金チェッカー」の偽物が確認されております。偽サイトは、「https://t.co/Q4taQ8rZkw」ではなく、短縮URLを使用しているようです。このようなツイートを見かけた際は、Twitterの認証を行わないようご注意ください。2016また、上のツイートは見ていない人もいることが想定されるので、サイト上にも注意喚起を開始しました。この時点では、スパムツイートは検索して出てくるもので大体数十件くらいだったので、これで収まるだろうと思っていました。翌日(3/13)、再度例のサイトを見てみると、昨日までは認証画面の前に認証ボタンだけあるページを挟んでいたのが、なくなっていました。ツイートなどのリンク→偽Twitter認証画面→本物サイト疑う材料がない!いままではこの偽サイトが、いかにもフィッシング、という感じだったので非常に怪しかったんですが、これがなくなるともう、巧妙すぎて、サイト上に注意喚起がなければ気づくタイミングがないですよね。ネットに慣れていない人だと、Twitterのサイトが出てくるので公式のサービスであると誤解したり、リテラシーのある人でも、SSL(https)のtwitter.comのページに「Twitterアカウント利用料金チェッカー」って書いてあるから大丈夫だろうと考えてしまったりするのではないでしょうか(実際にはTwitter社は何も審査したりしていません。ツイートから認証画面にいきなり飛ぶのはあやしすぎるとすぐにわかるのですが、「なんか面白そうだし、ワンクリックだけ押してもいいか」と思ってひっかかったユーザーを責めることはできないと思います。収まるだろうという予想とは裏腹に、被害はどんどん拡大していきました。3/13の11時台のスパム投稿件数は、1時間に1000件に達していました。そこで、これまでサイトに掲載していた注意喚起では読まない人もいそうだったので、全員が必ず注意喚起の画面を通過する仕組みに変えました。訴えかけるよう、サイトのトンマナを無視し、真っ赤な大きな字の警告画面を追加しました。こんなしつこいモーダル見たこと無い、と個人的には思いますw昔三菱東京UFJ銀行がフィッシング詐欺で、「公式が逆に怪しい」と言われるようなデザインの注意喚起をしている、と話題になっていましたが、気持ちがわかった気がします。変化をつけなきゃ読んでもらえないですからね。cards.hateblo.jpTwitterの反応Twitterでもこのスパムに関して数千ツイートされていました。気づいて注意喚起している人、勘違いしている人と反応は様々でした。呼びかけTwitter上でもこの状況に気づき、注意を呼びかけてくれている人が多数いました。8時間で約4500RTされています。この拡散の速さは、本当にTwitterならではですね。誤った情報もすぐに拡散するけどw新スパム流行中です。Twitter料金計算に連携した方、連携を解除してください!アプリケーション名が変更されていて公式のアプリケーションっぽくなっててなかなか見分けがつかないと思います。2016勘違いしている人も。残念なことに、正しいサイト自体をすべてスパムだと思い込んでしまっている人も結構いたようです。2016サービス運営者としては、ここが一番ショックだったところです。朝からこういうツイートを見るたびに、やるせない気持ちになっていました。APIからスパム投稿と思われるツイートを収集するスクリプトを作って調査しました。その結果、件数は以下のようになりました。1:00時点・非公開アカウントは含まない)これには、非公開の人と、既に削除してしまった人が入っていないので、実際にはもっと多いと思われます。whotwiのユーザーの場合、約30%が非公開なのと、20%の人がツイートを削除済みと仮定すると、被害件数は以下になります。1:00時点・30%が非公開アカウント、20%の人がツイートを削除していると仮定した場合)たった2日で、かなりの被害が出てしまいました。スパマーの戦略どうしてこんなに多くの人の被害が出てしまったのでしょうか。ここではスパマーがどのようにこのスパムを仕掛けたかを見ていきたいと思います。たくさんのアプリスパムツイートを分析したところ、全部で大きく分けて5種類のURLがあることがわかりました。1つ目と2つ目は認証画面前に1ページ挟むもの、それ以外は、いきなり認証画面に飛ぶものでした。全体が消えるリスクを少しでも低減するため、あえてアプリを分けていると思われます。アプリ名Twitterの連携アプリには名前をつけることができ、通常はわかりやすいサイト名「whotwi」などにします。今回のスパムアプリでは、どれも一見すると、なんのアプリかよくわからないようなアプリ名になっていました。アプリ連携解除の際、ユーザーは問題のあるアプリを自分で探すわけですが、名前とアイコンくらいしかないので、見つかりづらくするためです。以下が今回見つかったアプリ名の例です。programerased12036536どれも消していいのかダメなのか、よくわからないですね。これは、「このアプリを消してね」と言いづらくする効果もあります。試したくなるツイートツイートはいずれも、うちのサイトの画像を3枚セットにし、「芸能人の利用料金がすごいことになるよ、あなたもやってみて」という内容のものでした。普通に行ってしまうような金額を投稿することで、その前後に達したユーザーに「俺芸能人と同じレベル?」と思わせて投稿を誘導しています。フィッシングスパムアプリとどう戦えばいいのかユーザーとしてユーザーとしては、とにかく「気をつける」以外にはなさそうです。認証画面が出たら、以下のことをよく考えます。信頼できるサイトのものか許可するのは何なのか?(読み取りだけ?ツイートも可能にする必要ある?)もし不安であれば、利用終了後、アプリ連携から都度解除する、という方法もあります。サービス提供者としてこれは長い時間がかかるとは思いますが、各サービスが認証画面を適正利用するように心がけることで、変なタイミングで認証画面が出てもユーザーが違和感を持つような環境にしていく、ということしかないと思います。必要のないパーミッションは取らないパーミッションが必要になる直前に要求する(whotwiではフォローボタンを押した直後にログインが必要になったりします)パーミッションが必要な理由を明示するあたりかなと思います。このあたりは、Facebookのドキュメントがわかりやすかったです。Developersただやはり残念ながら、直接防ぐ方法は残念ながらないと思います。whotwiの場合は、4年間の運用のおかげでユーザーの皆様に信頼してもらえて注意喚起のツイートが流れるなど、多くの呼びかけが被害を未然に防ぐことにつながりました。ユーザーさんとそういう関係を維持していくことしかないのかなと思います。利用料金チェッカー」偽物にはご注意を!正しくはこちらのwhotwiグラフィカルツイッター分析さんです。私も利用させていただいております。2016↑こんなことを言ってもらえると嬉しいですね。アプリのユーザー数・レビューなどの表示があってもいいのでは認証画面が一番の判断タイミングですが、毎回同じデザインなので、判断が難しいですよね。そこで、ユーザーがパット見で判断できる指標を入れてくれればいいのになと思います。「ユーザー数:100万」だったら問題ない確率が高いですが、「ユーザー数:500」だったら警戒しますよね。Facebookアプリはこんな感じでいろんなところにユーザー数が表示されるので、そもそも最初から警戒できますね。現在もまだスパムアプリは動いています(Twitter社に消されていません)。ひっかかる(ひっかかったあとで連携を解除しない)人もいます。tinyyrl、レンサバ会社など関係各所にどうにか対応してもらえるように連絡しています。進展があったらお知らせします。フォロワー募集掲示板」をリリースしました!!こんにちは、小西です。SocialDog、ユーザ登録100万人を超えるTwitter分析サービス「whotwi」を運営。フォロワー募集掲示板」スパム対策のためログイン必須にし、通報機能をつけましたはてなブログをはじめよう!konisimpleさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。