ITセキュリティ企業の英SophosがTwitterにおける新手のフィッシング詐欺について警告している。「This you????」というメッセージを突然送りつけ、それに続けて表示されるURLで偽装ログインページへとユーザーを誘導し、ユーザー情報を盗み出すというものだ。

この詳細はSophosの2月24日付けの「This you???? : Phishing attack hits Twitter users」という記事で確認できる。Twitterユーザーに「This you???? (これは君?)」といった内容のメッセージを送りつけ、そこに続く形で記されたURLへのクリックを促す。リンクをクリックするとTwitterのログインページを偽装したサイトが出現し、ここで再度ログインを促すことでTwitterのユーザーIDとパスワードを盗み出すというものだ。偽装ログインページは一見するとTwitterのそれにそっくりだが、URLを確認するとまったく異なるサイトであることがわかる。詳しくは下記のYouTubeビデオをご覧いただくのが早いだろう。

ここでユーザーIDとパスワードを盗まれるとTwitterに登録した個人情報が盗まれるだけでなく、他の同種のソーシャルネットワークサービス(SNS)やWebサービスのアカウント情報も乗っ取られる可能性がある。Sophosのデータによれば、複数のサイトでIDやパスワードを使い分けているかというユーザーへのアンケート調査で、つねに使い分けているというユーザーが33%いる一方で、いくつかのパスワードを使い分けていると答えたユーザーが48%、まったく使い分けていないと答えたユーザーが19%いた。もし今回のようなケースでパスワードを盗まれることで、FacebookやHotmail、Gmailといったアカウントに加え、PayPalのような金銭に関わるサービスの情報を悪用される可能性もあり、気を付けたいところだ。Twitterでは以前、パスワードを使い回しているとみられるユーザーアカウントが乗っ取られた可能性を指摘しており、一部アカウントについて一斉にパスワードをリセットしてユーザーに注意を促す手法を採っている。