twitterアカウント@yanmaが乗っ取られた - yanma

字下げ.iconTwitterで拡散され始めているため、誤解のないように補足しておきます。私のアカウントが乗っ取られたことは事実ですが、私はTwitterのセキュリティ設定のうち、「2要素認証」と「追加のパスワード保護」をいずれもデフォルト設定のままOFFにしていました。これらのいずれか一つでもONになっていた場合、今回の手口は使えない可能性があります(Twitterのセキュリティ周りの仕様が不明なため推定)。 字下げ.iconしかし、「2要素認証」はともかくとして、「追加のパスワード保護」がデフォルトでOFFになっているのはWebサービスのセキュリティ上正しい設計なのかどうかかなり疑問です。私はこの設定の存在を知らず、パスワードのリセット要求がされると少なくとも一回はログインアラートが来て阻止するチャンスがあると考えていました。

[lenhai]

元に戻ったね→https://idtwi.com/20594817 乗っ取り犯人は凍結→https://idtwi.com/816494222／その後、ユーザー名修正の隙に横取りされたが、不正占拠(スクワッティング)と見做されたのか元に戻った模様→https://idtwi.com/1370456027397820426

[mouseion]

ツイッター社が会社にあるまじき不親切な対応でビビる。これ被害者多いんじゃないか。何ならツイッター社が頭を下げて真相究明に乗り出すことを期待して集団訴訟を起こしていくしかないか。

[Fushihara]

これTwitterの中の人が知り合いでもなきゃイチ利用者には打つ手なしだろうなあ/ https://twitter.com/settings/your_twitter_data/login_history をクリックでAPIからのアクセス履歴をチェックしよう！

[spark7]

はてブのtwitterアカウント連携でも同じことできるな。「`@SupportRequests #番号`」

[shea]

なんか戻ってるっぽかったからTwitter社が対応したのか？

[skypenguins]

Twitter社の本人確認がガバガバすぎて草なんだ

[Lian]

こわっ / 読書メーターにパスワード設定してるの忘れてたので複雑なのに変えておいた

[notr85]

そこまでして欲しいのか、アカウント名が…

[kiyusada]

2段階認証設定した。してなかったことに自分で驚いた。注意喚起ありがとうございます

[khtokage]

なるほど、アカウント回復のために指定された番号を発言するって手順があって、本来iOSやWeb等の直接ログインする系からの発言じゃないとダメなはずが、API連携でやれてしまう穴があったと。

[masutaka26]

Twitterで2FA設定していなかった且つ、読書メーターのパスワードが脆弱だったため「乗っ取り」にあった例。読書メーターの不正ログインだけで、Twitterにログイン出来てしまうのはTwitterの脆弱性のような？認可なのに認証？

[lesamoureuses]

こういう仕組みなのか怖い “twitterからワンタイムパスワードのような数字の羅列を貰い、リセットしたいtwitterアカウントでその数字をtweetすることができたら本人とみなすということだろう”

[tailtame]

リプで勝手に…ザルだ…。bookmeterって名前欄にURL悪用してスパム発生してたこともあるし弱いよなぁ…今カドカワ…。 https://twitter.com/settings/connected_apps 短いid乗っ取りしようとする話もあるしホントひどいよね…

[mattn]

こわい

[nilab]

「私のアカウントが乗っ取られたことは事実ですが、私はTwitterのセキュリティ設定のうち、「2要素認証」と「追加のパスワード保護」をいずれもデフォルト設定のままOFFにしていました」

[i_ko10mi]

なんぞこれ。Twitterの本人認証がザルだったってことか。

[b-wind]

”twitterに対して書き込み権限を渡しているサードパーティ製アプリのうちどれかを乗っ取ることができたらtwitterの書き込み権限だけでなくtwitterアカウントそれ自体も乗っ取ることができてしまう。”

[threetea0407]

怖〜

[ys0000]

こえーな。これは気をつけたい。

[airwave]

SNSアカウントでログインできるサイトあるけど（githubとか）あれも危ないと思ってる。MMDでBowlRoll使ってる人は気を付けて。

[mtgto]

自分の2010年登録のTwitterアカウントも「追加のパスワード保護」がオフのままだったのでオンにした。これデフォルトオフなのやばい…

[daishi_n]

TwitterのAPIは利用可能な権限が怪しいんだよね。ほぼフルコントロールな気がするから連携アプリは最小限にしてるし、認証プロバイダにも使ってない

[nezuku]

任意のテキストをツイート可能なサードパーティサービスのアカウントハックを介し、本人確認の応答をツイートしアカウントを奪取するのか… 本来接続しているアプリからのツイートで復旧コードは受け付けないはずが

[findcafe]

メールアドレスが不明でもツイートで本人確認という仕組みがあるようです。アプリ認証からの乗っ取りにご注意！ https://misskey.dev/notes/8k65orykxz

[Helfard]

Twitterに余計な機能を付けたばっかりに。

[naglfar]

恐ろしすぎる。パスワードの使い回し以外にも道はあるんだな……それはそうか……。

[jouhouxhoko]

Twitterのセキュリティ設定について→「Twitterのセキュリティ設定を見直そう」 http://hokoxjouhou.blog105.fc2.com/blog-entry-1891.html

[nabinno]

悪く言われてるウィルスバスターだけど、こういうところはチェックしてくれるのでSNSのセキュリティ設定を忘れやすい人は入れておいて損はないのではと最近思っている。

[rx7]

恐ろしい。権限周りは定期的に棚卸しした方がいいね。

[p1ass]

すぐに設定を変えるべき

[nawo_rs]

T社はユーザーからの問い合わせ、通報に応じてくれないイメージがある。とりあえず設定を見直しておこう……

[aoven]

技術的な話は分からないが、予防として２要素認証や追加のパスワード保護をONにしないと

[outdoor-kanazawa]

メモ。自分も気をつけるメモ

[ya--mada]

そっかー、ツイッターを宣伝ツールとして使っている人にとっては深刻か。人格がアカウントと不可分になってしまっている。ひろゆきだったらどうしていただろうか？ https://internet.watch.impress.co.jp/docs/yajiuma/1289/737/amp.index.ht

[wordi]

id:Fushihara さんのに加え、根本である連携しているアプリも見直した方が良いと思う https://twitter.com/settings/connected_apps

[enya_r]

ソシャゲをスクショツイから乗っ取るみたいな雰囲気だ、Twitterそんな親切なリカバリ方法あったんだ… 追加のパスワード保護設定して、泣く泣く思い出の連携アプリを最低限まで消したよ

[mkusunok]

うわー何だこのTwitterのバックドア、クソ仕様だな

[Ni-nja]

えーひどい。アプリの連携は使ってないのは切ってるけど例えばはてなの連携から同じように乗っ取られることもあり得るんだな…。追加のパスワード保護にチェックつけた