任意のTwitterアカウントの登録メールアドレス（伏せ字含）を表示させる攻撃が急増中（対策設定有り）

現在、突然「Twitterログインリンク」というメールが届くケースが急増しています。この原因について調査したところ、何者かがTwitterアカウントへログインを試み、とあるTwitterの機能を悪用して、登録メールアドレスの情報を取得している可能性が高いと考えられることがわかりました。この手法を使用して収集したメールアドレスリストに対し、今後集中的にTwitterアカウントの乗っ取りを目的としたフィッシングメールが送信される可能性などが考えられます。この件について仕組みを紹介するので、注意し、必要であれば対策を行ってください。 目次 1. 届くメール2. メールが届く原因2.1. ログインに失敗する2.2. 1クリックログイン用のリンクを送信する2.3. メールアドレスの一部を取得3. そもそも@以降がバレるとやばい人も！4. 注意したい悪用のシナリオ4.1. メールアドレスの一部を取得4

[navagraha]

「例えば、万が一ドメインが@○○.co.jpだった場合は、ステマしてる企業名がバレかねませんし、○○.ac.jpだとすれば、大学名がバレかねません」

[androidzaurus]

メアドとアカウント名が同じだとアカンやんか、これ…

[co3k]

独自ドメインの co3k . org でメールアドレス登録しているので書かれている手法を試してみたら「ko*****@c***.***」と表示された

[hirata_yasuyuki]

「良い」アカウントをいくつか持っているので、ちょくちょくこのメールが来る。 Browsing: “任意のTwitterアカウントの登録メールアドレス（伏せ字含）を表示させる攻撃が急増中（対策設定有り）”

[asari3]

なんか変なメールが来た。

[aptorojp]

興味深い．とりあえずIDとメールアドレスを一致させないのが一番手っ取り早いかしら

[setagayatagayase]

RT @did2memo: 任意のTwitterアカウントの登録メールアドレス（伏せ字含）を表示させる攻撃が急増中（対策設定有り）

[TsuSUZUKI]

"1クリックログインを無効化する" / "パスワードのリセットに個人情報を使う" cf. https://twitter.com/login?redirect_after_login=%2Fsettings%2Fadd_phone

[kankichi20]

なるほど。うちにも来た。気をつけよう。

[high_grade_works]

任意のTwitterアカウントの登録メールアドレス（伏せ字含）を表示させる攻撃が急増中（対策設定有り） 情報科学屋さんを目指す人のメモ > ウェブサービス > Twitter > 任意のTwitterアカウントの登録メールアドレス（伏

[naga_sawa]

表示されたメールアドレスの部分情報から全体を推測してフィッシングへ/アカウントとメールアドレスが全く異なっていればこの手のは通じにくい

[y2_naranja]

このメール来ちゃったよ…。「とりあえず」設定をこの記事に合わせて直した。

[rerofumi]

こういう手口の解説は感心しきりであるな

[sds-page]

ユーザー数が多いサービスだと危険性も高まるのか

[monopoo]

これやられるとやばい人はいるだろうなぁと思いました。

[muipla]

幸いメールは来てなかったが、コードログイン可になってた。変えた。

[maidcure]

今確認したら先頭2文字と@の後1文字目だけ見えてff****@f****.**.**みたいになっていた

[tarchan]

＞メールアドレスの一部が獲得可能

[tg30yen]

最終的にはフィッシングサイトに誘導するメールを送っているだけだから、IDから推測可能なメールアドレスさえ入手できれば同じこと。しかし「Twitterログインリンク」が先にくることで信頼度が上がっている。

[kuzira4ever]

今のところ着てない

[moccos_info]

ﾋｪｪ

[anoncom]

こちらのメールアドレスに送りました。みたいなのを表示するから、それを意図的に、ということか

[yz_s]

拡散

[daiouoka]

怖いな…　紹介されている設定変えておいた。[コメント]

[unsan]

この前きた。無視してたなぁ

[spike_komainu]

幸いメール届いてないが

[kaitoster]

とりあえずセキュリティの設定変えてきた。ストーキングしてくる相手にメルアドの一部が漏れちゃうのは怖いな・・・。

[p260-2001fp]

『https://twitter.com/did2memo/status/613734468386316288 のような根拠のない煽りツイートをするなどもってのほかです。』どんだけ煽ってるんだろうと思ったらblog記事と大差なかった

[hakodama]

怖いでござる

[dikn]

凄い

[hoshiyo]

なんというかまあ……悪党ってのはその頭の回転をもっと公益に使えんものか、と思う。とりあえず対策してこよ。ついった側もドメインも伏字にしたみたいだけど。