Twitterクラッキングによるアカウント乗っ取りを図にした

今日の15:00頃にtwitter.comがクラッキングされて、全く異なるトップページが表示されていたようです。

• Twitter Blog: DNS Disruption
• Twitter がクラッキングを受けてダウンしている模様 – Yaks
• Twitterがクラックされている件 – 西尾泰和のはてなダイアリー

私が見た時は単に接続ができない状態だったのですが、DNSを不正に書き換えられてtwitter.comが別サーバに向くようになっていました。

すでに各サイトで技術的な解説はされているので、タイムラインで懸念されているアカウント乗っ取りについて図を書いてみました。

通常時

OAuthを使っていない多くのTwitterクライアントは、Basic認証を使ってアカウントの認証を行っています。つまりTLを取得するなり、postするなり、twitter.comへのリクエスト毎にアカウントIDとパスワードを毎回送信しています。

今回のクラッキング（DNS書き換え）

今回のようにDNSを書き換えられて、twitter.comがクラッカーのサーバを指し示すようになると、当然ながらリクエストがクラッカーのサーバに送信されます。

Twitterクライアントは、それがクラッカーのサーバとは知らないので、せっせとアカウントIDとパスワードを送信してしまいます。

もしクラッカーのサーバに送信されたIDとパスワードを保存する仕組みを持っていたら、がっつり収集されてしまいます。

復旧後

現在は無事に復旧して、twitter.comは本来のサーバを指すようになっています。

しかしクラッカーのサーバには収集したIDとパスワードがたんまりと残っています。もしその気になればIDとパスワードを使ってアカウントを乗っ取るのは造作もないことです。

じゃあ、どうするか？

じゃあ、パスワードを変更すれば良い、というのが一般的なアプローチです。

パスワードさえ変えてしまえば、クラッカーが収集したパスワードではログインできませんので、一件落着です。

しかし、Twitter自体にも問題があって「パスワードを変更するとアカウントがロックされてしまう」というような話があります。

もう2ヶ月も前の話なので、今は大丈夫かもしれません。ただアカウントをロックされる可能性もあるので、パスワード変更も積極的にはおすすめできなかったりします。

ということで何とも動きが取りづらいのが正直なところです。。。アカウントロックの問題が解消されているのであれば、パスワード変更した方が良いのですが。