当社はこれまで、ソーシャル メディアを通じてマルウェアを配信する巧妙な手法を目撃してきました。よくある脅威のひとつは、過去に侵害された Facebook アカウントを利用し、SVG 画像が添付された詐欺的なメッセージを Facebook Messenger で送信するというものです (SVG 拡張子は、2 次元のグラフィックに用いられる XML ベースのベクター画像フォーマットのひとつであり、双方向性およびアニメーションをサポートします)。
サイバー犯罪者は、動的コンテンツの使用が可能なこの XML ベースの画像を好みます。これによって、悪質な JavaScript コードを写真そのものの内部に追加し、たとえば外部サイトにリンクさせることができます。画像をクリックしたユーザーは YouTube に見せかけた Web サイトへと誘導され、このサイトにブラウザのエクステンションやアドオンのインストール、または動画の視聴を促すポップアップが表示されます。その過程には、URL が明らかに YouTube.com ではないことや、本物の YouTube なら動画の視聴にエクステンションを要求されないことなど、多数の危険信号があります。
ワームのように拡散
ユーザーによってインストールされた場合、このエクステンションは Facebook アカウントへのブラウザ アクセスを利用して同じ SVG 画像ファイルを伴うメッセージをユーザーの友達に大量送信し、水面下でワームのように拡散させます。この戦術なら、被害者がさほど多くの友達とつながっていなくても十分拡散が可能です。たとえば、被害者に 100 人の友達がいる場合、その中のわずか 1% 未満をだましおおせればこの詐欺行為は拡散し続けられます。
しかも、このエクステンションは Nemucod (他のさまざまな脅威のダウンロードおよびインストールによく使用される一般的なマルウェア ダウンローダー) のダウンロードも行います。通常、犯罪者間で人気があるのは、効果実証済みのビジネス モデルであるランサムウェアです。
ソーシャル メディア マネージャーがさらされるリスク
企業のソーシャル メディア アカウントを管理する人員は、とりわけ高度なマルウェアおよびその他のサイバー攻撃のリスクにさらされています。2018年春、Stresspaint と呼ばれる、Windows を狙う新たなトロイの木馬が偽のストレス緩和アプリに埋め込まれていたことがわかりました。この事実を突き止めた Radware のリサーチャーによると、このマルウェアは、電子メールおよび Facebook によるスパム キャンペーンを通じて 3 万 5000 人のユーザーに拡散したものと見られています。
Bleeping Computer いわく、Stresspaint がFacebook アカウントの認証情報を盗む手口や、アカウントにログインして「各ユーザーの友達の数、そのアカウントが何らかの Facebook ページを管理しているか、アカウントに何らかの支払い方法が設定されているか」などの具体的なデータを探す様子には異常性があります。
ブランドのソーシャル メディア アカウントに対する制御をサイバー犯罪者に許してしまうことは、評判の低下や機密情報の流出、組織のネットワーク深部へのアクセスといった深刻な結果につながりかねません。HBO は昨年、有名なハッカー グループ OurMine によって社会的評価を傷つけられました。ようやく自社のログイン情報の管理能力を取り戻したときには、同グループがネットワーク上のいくつかのアカウントを侵害してメッセージを投稿してしまった後でした。
狙われる暗号通貨ユーザー
マルウェアの最近の傾向に違わず、既存の種の高度な異形が今ターゲットに定めているのは暗号通貨ユーザーです。Coindesk が報じているところによると、Facebook Messenger を通じて拡散する悪質な Google Chrome エクステンション「FacexWorm」は、人気のある多くのオンライン取引所での暗号通貨取引を襲うという新たな能力を手に入れました。これにより、ターゲットにならないためにはソーシャル メディアで情報をシェアする際に十分注意を払わなければならないことが改めて強調されました。暗号通貨を使用している場合はなおさらです。
暗号通貨詐欺は、ソーシャル メディア上で拡散する一般的な脅威のひとつです。なかでも Twitter は、有名なテクノロジー リーダーや業界のインフルエンサーを装った暗号通貨詐欺ボットの蔓延で特に悪評を買っています。
油断は禁物
ソーシャル ネットワークの性質上、Facebook や Instagram、Twitter などのサイトのユーザーの多くは、友達と一緒にその場にいるような気になることがあります。しかし、この思い込みは、ソーシャル サイト上のリンクを、電子メールの受信トレイ内や他の Web サイト上のリンクよりも簡単に信用してしまう傾向を生みかねず、大変危険です。実際、New York Times による昨年のレポートでは、Twitter 上のシンプルなボット メッセージにより、ハッカーが米国国防総省職員のコンピューターへのアクセスを取得した事例も報告されています。
侵害を受けたソーシャル メディア アカウントを利用して詐欺やフィッシング、その他のサイバー攻撃が拡散されることは珍しくないため、友達や家族、あるいは仕事で付き合いのある相手から送られてきたものも含め、どのようなリンクでも必ずよく考えてからクリックすべきです。たった一度誤ってクリックしただけでも、個人情報の盗難やデータ損失、デバイスの不具合といったサイバー関連の問題が次々と起こる可能性があります。
Recent Comments