先週、Facebook ツールキットを利用したファストフラックス型の攻撃について取り上げました。この攻撃の勢いは、1 週間以上経っても途絶えることはなく、250 種類以上の悪質な Facebook アプリケーションが関わっていました。Facebook のスパム攻撃には、Tinie、Arber、fbexpert、NeoApp といった数多くのツールキットが使用されています。
これらのツールキットやスクリプトは、アンダーグラウンドのフォーラムで流通し、そこでは新たに生成されたアカウントも取り引きされています。さらに、ユーザーを騙して広告をクリックさせたり、報酬が得られるアンケートに記入させたりするための情報も投稿されています。このようなツールは、新しいものではありません。Facebook を利用した自動化スクリプトは、今までも身近な存在でしたが、使用されるツールキットは、さらに高機能になり、使い方も簡単になっているようです。
一例として、現在よく利用されている NeoApp という Facebook スパムアプリケーションのツールキットを見てみましょう。このツールキットは、50 ドルで売られていますが、サイトによっては、さらに安いものも見つけることができます。Tinie や Arber といった NeoApp と同じような機能を持つツールキットもありますが、これらは Facebook アプリケーションの生成に使用される数種類の PHP スクリプトで構成されています。ユーザーが、この Facebook アプリケーションをインストールして、これを許可すると、そのユーザーが NeoApp の管理パネルに表示されます。攻撃者は、このパネルにある自動化された投稿ジョブのキュー、統計ページ、簡単に使えるテンプレートを使用して、そのユーザーや友人に手当たりしだいにメッセージを送りつけることができます。この豊富な機能を使用すると、プログラミングスキルがない人でも Facebook で急速に拡散するスパムメッセージを作成することができます。このツールは、正規のマーケティングツールとして使用できるものですが、私たちに毎日送りつけられるアンケートに利用されている Facebook のスパムアプリケーションを作り出す迷惑なツールでもあるのです。
このツールキットでは、最大の利益を得るために、面白いビデオのリンクやアンケートのリンクをどこに置いたらいいのかということまで説明されています。その広告を見ると、このキットを利用する目的が金儲けにあることがわかります。
このようなツールを使ってアンケートにリンクするスパムメッセージを拡散させることが問題になりますが、ユーザーが個人情報へのアクセスをアプリケーションに許可する必要があることを考えると、プライバシーの問題も発生します。ツールキットでは、受信した個人情報をデータベースに格納し、管理者がそのデータベースから情報を引き出して思い通りに悪用することができます。そのデータには、ユーザー個人の電子メールアドレスも含まれていることがあるため、ユーザーやその友人の本名をメールに記載して親しみ深い文面にした従来型のスパムメッセージを送りつけることもできます。このようにして、巧妙なスパムメールが生成されることになります。このような行為は、Facebook の利用ポリシーに反することになりますが、アプリケーション自体もポリシーに違反していることを考えると、攻撃者が、このポリシーを意識しているかどうかはわかりません。
Facebook の専門チームは、このような悪質なアプリケーションを探し出し、遮断しています。残念なことに、今でも多くの悪質なアプリケーションが現れているため、このようなアプリケーションの被害に遭うリスクが十分に残っています。このため、面白い写真を見るためだけに、このようなアプリケーションをインストールしないよう常に心がけ、うまい話で誘ってくるアプリケーションから身を守ってください。アプリケーションが個人情報にアクセスするための許可を求めてきた場合は、本当にそのようなアクセスが必要なのかをよく考え、それが個人情報を搾取するためのアプリケーションでないか疑ってください。
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。