ツイッターへのハッキング攻撃、スピアフィッシング攻撃で内部管理ツールにアクセス

ツイッターは7月30日にハッカーによる攻撃についての情報をアップデートし、ハッカーが攻撃で内部ネットワークとアカウント管理ツールにアクセスした方法を明らかにした。

またハッキング以降にセキュリティ改善のために講じた追加の対策の詳細についても説明した。

このツイッターのハッキング事件は、ハッカーが、バラク・オバマ元大統領やバイデン元副大統領といった人物のアカウントを使用してビットコイン（BTC）をプレゼントするという詐欺ツイートを投稿し、300人を超えるユーザーから11万8000ドルをだまし取った。

スピアフィッシング攻撃

ツイッター側のアップデートによれば、ツイッターがソーシャルエンジニアリング攻撃の被害を受けたことが確認された。

レポートによると、7月15日のインシデントはスピアフィッシング攻撃で始まり、電話で少数の従業員を標的にしてネットワークアクセスの資格情報を取得したという。スピアフィッシング攻撃とは、特定の組織や人物を標的にしたフィッシング攻撃のことだ。

「当初標的にされたすべての従業員がアカウント管理ツールを使用する権限を持っていたわけではないが、攻撃者は資格情報を使用して、内部システムにアクセスし、プロセスに関する情報を入手した」

その後、攻撃者はこの知識を利用して、アカウントサポートツールにアクセスできるほかの従業員を標的にした。

ツイッターのアップデートによれば、内部管理ツールにアクセスできる従業員は1000人超いたという。ツイッターには世界中にはアカウントサポートを支援するチームがいるためだと説明している。

ただし、ツールへのアクセスは厳密に制限され、正当なビジネス上の理由でのみ許可されている。攻撃以降、内部管理ツールへのアクセスはさらに制限され、フィッシング攻撃のリスクに関する教育プログラムも行っていくと説明している。

ツイッターのアップデートから1日後の31日、FBIやシークレットサービスなどの米法執行機関がフロリダ州在住の17歳少年をこの攻撃の「首謀者」として逮捕した。

米司法省が7月31日に発表した声明では、ツイッターの事件に関連して3人が告発されている。

フロリダ州で逮捕された少年のほか、英国在住の19歳のメーソン・シェパード容疑者とフロリダ州在住の22歳のニマ・ファゼリ容疑者だ。シェパード容疑者はマネーロンダリングなどの容疑、ファゼリ容疑者はコンピューターへの不正アクセスを手助けした容疑で告発された。

報道によれば、ツイッターへの攻撃は2020年5月から始まり、2020年7月16日まで行われたという。