今年に入ってすぐ、アダルト出会い系サイトへユーザーを誘導する偽の Instagram プロフィールが急増したということをこのブログでお伝えしました。最近の数カ月間では、Instagram アカウントをハッキングして、アダルト出会い系スパムの拡散に悪用する例をシマンテックは確認しています。
図 1. 詐欺師によって変更された Instagram アカウントのパスワード
シマンテックの発見は、Twitter アカウントがハッキングされて、アダルト系出会い系サイトやセフレ紹介サイトへのリンクを投稿しているという報告を受けてのことでした。これにも新しい活動との類似点はありますが、両者間に直接のつながりはまだ確認されていません。
ハッキングされたアカウントの傾向
ハッキングされた Instagram アカウントに最初に気付いた時点で、シマンテックは次のような特徴を確認しました。
- ユーザー名が変更される
- プロフィール画像が異なる
- プロフィールのフルネームが異なる
- プロフィール情報が異なる
- プロフィールのリンクが変更または追加される
- 新しい写真がアップロードされている
図 2. ハッキングされた Instagram アカウントの例
プロフィールには、プロフィールリンクにアクセスするよう書かれており、リンクはターゲットサイトへの短縮 URL の場合も直接リンクの場合もあります。プロフィール画像は、実際のアカウント所有者の性別とは無関係に、女性の写真に変えられています。
プロフィール情報を変更するだけでなく、攻撃者は写真もアップロードします。それも、たいていは性的にいかがわしいものばかりです。ただし、アカウント所有者がアップロードした写真は削除しません。
図 3. アカウント所有者がアップロードした元の画像は、プロフィールに残っている
アカウントパスワードの変更
攻撃者は、乗っ取ったアカウントのパスワードも変更します。元のアカウント所有者が侵害に気付くのも、このためです。数カ月たった今も、これらのアカウントは同じ状態のままなので、本来の所有者はこれを放置して新しいアカウントを作成しているものと推察されます。
詐欺師は面倒になったのか、戦術を変えたのか
最近、ハッキングされた Instagram アカウントでは、以下の点に変化が見られるようになってきました。
- Instagram ユーザー名は元のまま
- 新しい写真がアップロードされない
図 4. ハッキングされたものの変更が少なくなっている Instagram アカウントの例
特徴的なこの 2 点について方針が変わった理由は不明ですが、プロフィール画像やリンクを変更するなど、それ以外の点に変化は見られません。
アフィリエイトベースのスパム
類似の詐欺と同様、プロフィールリンクからは、詐欺師が管理する中間サイトにリダイレクトされます。このサイトにはアンケートがあり、女性がヌード写真を公開していて、サイトに行けばデートどころか「すぐにセックスできる」ようなことを示唆しています。おもしろいことに、このページはモバイル用ブラウザでしか表示されません。デスクトップコンピュータやラップトップでその URL にアクセスしようとしても、ランダムな Facebook ユーザーのプロフィールに送られてしまいます。
図 5. アダルト系出会いサイトにリンクしているアダルト向けアンケート
アンケートに答えると、アダルト系出会いサイトにリダイレクトされ、そこにはアフィリエイトの識別番号が載っています。ユーザーがこのリンク経由でサイトに登録するたびに、アフィリエイト、この場合は詐欺師に報酬が入るというわけです。
アカウントのハッキング方法
こうしたアカウントが侵害された経緯は不明ですが、弱いパスワードや、パスワードの使い回しが原因ではないかとシマンテックは考えています。2016 年には、他のサイトに影響したデータ侵害で、6 億件以上のパスワードが漏えいしたことがあり、その可能性は濃厚です。
（利用可能な場合は）2 段階認証を有効に
今年のはじめに、Instagram はユーザーに向けて 2 段階認証を導入し始めました。このアカウント保護機能を使えば、攻撃を続ける詐欺師にアカウントを乗っ取られるのを防ぐことができます。とは言っても、Instagram の全ユーザーがこの機能を利用できるわけではありません。2 段階認証のオプションを利用できるかどうかは、プロフィールにある歯車アイコンをタップすればわかります。
図 6. Instagram をお使いの場合、利用可能なら必ず 2 段階認証を有効に
ハッキングされたアカウントの報告
自分または知り合いの Instagram アカウントがハッキングされているのに気付いたら、そのアカウントを Instagram に報告しましょう。Instagram は、アカウントの所有者に対してしか情報を公開せず、第三者に公開することはありません。
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。
【参考訳】