「東方Project」ZUNさん、Xアカウント奪還 攻撃者にメアド変えられ、パスキー認証弾かれ……

ゲームや音楽を中心とした作品群「東方Project」の原作者・ZUNさんが10月8日、何者かに乗っ取られていた自身のXアカウント「@korindo」を取り返したと発表し、その経緯を公式サイトで説明した。 ZUNさんのXアカウントは9月24日までに乗っ取り被害にあっていたが、約2週間ぶりに復帰できたことになる。 ZUNさんによると「乗っ取られた経緯はまだよく分かっていない」が、実際に起きた事象はこうだ。 まず、Xにログインしようとした際、パスキーによる認証を求められたが、3回ほど失敗。「通常と異なるログイン」というメッセージが出てメールアドレスを求められ、ログインできなくなったという。 メールの履歴を確認したところ、ロシア語で「Xのメールアドレスが変更された」というメールが以前、届いていたことが分かった。その直後、Xに偽の投稿があり、乗っ取りにあったことに気づいたという。 つまり、乗っ取り犯

[umaemong]

Xの2要素認証はパスキー以外も使えるし、攻撃者はパスキー以外で認証を突破したんでしょ。メアド変更時点で乗っ取り完了してるので、その後の本人のログイン操作は全て失敗して当然。『何故か』なんてことはない。

[pribetch]

イケハヤと間違えて攻撃されたが別人と気づいて返してもらえた説

[TakamoriTarou]

パスキーが弾かれた中のどれかに中間者攻撃が混じっていてセッションハイジャックされた感じではなかろうかと。多要素認証は固いけど、ピンポイントで攻撃する場合は抜く方法は色々ある模様で。

[secseek]

パスキーを使うなら他の認証手段は無効化しないと強化にならないんですね。そりゃまあそうかって話ですが…

[rosaline]

ロシア語……へーえ……

[gomakyu]

アカウントがアルファベット一文字の人の壮絶な防衛戦が以前ブックマーク集めてましたね。

[Pinballwiz]

隙間妖怪のしわざじゃ！

[mugi_sisyou]

パスキーは2FAではない

[sekiryo]

NFT東方を開始しますとか発言してたら入れ食いだったかもしれねぇ。

[n_vermillion]

パスキー以外の認証方法で入られたんやろなぁと。そこから各種情報変えられたら意味はない。パスキーは2要素認証をクリアしたものとできるってだけやで。

[hate_flag]

ツイッターアカウントに紐づけられたメアドを変更するためには旧メールアドレスに届いたリンクをクリックしないと変更できないはずでは？間違ってクリックしちゃった感じ？

[Yagokoro]

パスキー？２要素認証にパスキーはなくない？セキュリティキー、ＳＭＳ、認証アプリのどれかでしょ

[zentarou]

本当に乗っ取られることあるんだなぁ