短縮 URL は近年、マイクロブログなど、文字数が制限されているテキストフィールドでスペースを確保する手段として広く使われています。URL によっては多くの文字を使うので、文字数上限を超えたり、テキストが強制改行されたり、Web ページのレンダリング方法に歪みが生じたりする可能性があります。URL 短縮サービスでは、URL を送信すると、特別にコード化された短縮 URL を受け取ることができます。その短縮URL をクリックすると、最初に送信した Web ページにリダイレクトされます。
攻撃者は、実際の URL が表示されないというこのサービスの特徴を悪用し、合法または非合法な短縮リンクを使って、無防備なユーザーを悪質な Web サイトに誘導します。その Web サイトは、脆弱なブラウザを使用してシステムを攻撃するように設計されているというわけです。
ソーシャルネットワークは、このタイプの攻撃を効果的に実行できるプラットフォームとなるので、企業にとってはセキュリティ上の懸案事項となっています。友人が投稿したリンクを見たユーザーは、特に危険だとも思わずにソーシャルネットワークサイトに投稿されたリンクを信頼する（そしてクリックする）傾向があります。そのため、ソーシャルネットワークのアカウントを侵害した攻撃者が、そのアカウントにつながるソーシャルネットワークへの信頼を盾に、悪質な Web サイトにリンクされた URL を投稿する可能性があります。2010 年、3 カ月に及ぶ調査を行った結果、ソーシャルネットワークで確認された悪質な URL の 3 分の 2 が短縮URL でした。現在、ソーシャルネットワークの悪質な URL の大半は、攻撃ツールキットをホストしている Web サイトにユーザーを誘導します。
悪質な短縮 URL を使用すると、攻撃の成功率が大幅に上昇します。シマンテックは、悪質な短縮 URL のクリック回数を計測し、リンクの成功率を判定しました。2010 年、シマンテックはソーシャルネットワークで 4 カ月にわたり、悪質なWeb サイトへの短縮URL を調査しました。その結果、88 パーセントの URL が最低 1 回はクリックされたことが明らかになりました。
ソーシャルネットワークに参加して、日常的にアクセスする人が増え、サイトが洗練されていくにつれ、悪質な短縮 URL などを用いた複雑な攻撃が増える傾向にあります。さらに、多くのユーザーが職場のコンピュータからソーシャルネットワークにアクセスするため、こうした脅威はネットワーク管理者にとっても頭の痛い問題になります。ソーシャルネットワークサイトでは悪用可能な情報の多くが自動的に共有設定されるので、ユーザーはプロフィールに対するセキュリティ設定をできる限り監視する必要があります。ソーシャルネットワークのプロフィールへのアクセスを制限するかどうかは、ユーザー自身に委ねられています。
このような悪質な攻撃の詳細については、シマンテックの『インターネットセキュリティ脅威レポート Volume 16』（英語）を参照してください。
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。