Twitterに限らずSNS乗っ取りされるとおこること（悪用厳禁：乗っ取り方法）

Twitterのアカウントの乗っ取りの話を前回かきました。

問題がなにかをひとつひとつ潰すことにしました。

パスワードが流出したんではないか？と思われるかもしれませんが、Twitterアカウント用に複雑で自信も覚えられない形にしており、ログイン時には2要素にて電話番号／Authenticatorを登録済みです。　

そもそも、多いのがフィッシングサイトを使ってのパスワード盗み取りのようです。InstagramやTikTok、Twitterでは「有名人認証します」とかいったりして、フィッシングにつかったものが多く、または広告費用をちらつかせるDMを送ったりしてパスワードを聞き出すという手口が多いようです。注意してくださいね。

だからしっかりしていました。
2要素認証はログインを試みる時にパスワードだけではなく必ず第2の本人確認として行われるツールです。SMSがダメな時はAuthenticatorに切り替えられるようになります。（どちらかを選べるはずですが、基本TwitterはSMSに送ってきます。その後にAuthenticatorで認証できる画面にいけます）

ログイン試み→パスワード入力→2要素認証→はれてログイン。

Authenticatorは共通化したワンタイムパスコードです。時間で変わるパスコードを共通キーにあわせて認証するシステムです。まだまだマイナーにようですがだいぶ増えてきましたね。

今回は一方的に「2要素認証解除」が行われました。そこで、この2要素認証解除するにはどうしたらいいかです。

1. ログインしていること
2. 設定＞セキュリティにアクセスすること
　ここでは必ずパスワード再入力が必要となります。

まずログインできている必要があります。他のログイン形跡がTwittterの履歴にありません。乗っ取り後の履歴は当然あります。（2）に関してはパスワードがわかっていたらということになります。仮になんらかログインできたとしててもパスワードがわからないと無理なのです。

3. メールアドレスの変更

メールアドレスの変更時は必ず旧メールアドレスにも通知がきて、変更確認がおこなわれます。

今回は、（3）は来ずに、「2要素認証の解除通知」され、そのタイミングですでに「メールアドレス変更」されている。というおかしな状態となり、サポートから連絡されるアカウント復旧手続きにおいて第三者（メールアドレス所持者）がログインできるようになるのでした。

このTwitterサポートが行うアカウントへのログイン復旧ですが、サポート側でなんらかの処置後にログインできるように促されます。かならず設定したメールに「認証コード」が届いてそれをもってログインできるようになり、再度設定しなおしてねという動きになります。

さらに意地悪にもう少し可能性を追っかけます

「登録しているメールが乗っ取られており盗み見られている」→メールだけでなくSMS（電話）もとなるとかなりのハッカー。メールの接続セキュアもGoogle Workplaceのため今のところログに怪しいものも他の情報も今のところ大丈夫。

パソコン自体のスキミング。ひとまず市場に出ている盗み取り系は大丈夫そう（セキュリティ／ウイルス対策は最新であらためて全部かけ直したけど）

＜防御策＞

ありません。

わたしがわたしである理由。認められようとなにしようと、機械的に／もしくは他国で活躍していないと「誤った善意」がうごくか、「悪意ある行為」がサポート側で行われるとおしまいです。

まぁそもそも、サービスなんてプラットフォームの気分で変わるものですしね。

Twitterが本人認証でマイナンバーや免許書を登録したり、そもそものコンセプトをもう少し厳しくしてくれるかどうかにかかってくるでしょう。

実際のログの確認。ログインはログに残ります。そのIPなどに基づきログイン前のチェックが大体はそなわれています。今回乗っ取りさんがログインしたのはアムステルダムの回線でした。Facebookなど一部のSNSでは大きく回線が変わる時、たとえばホテルから繋ぎ直すとかすると、かならずログアウトされたり本人認証の通知がきたりしますよね。Twitterの場合は複数人で使う企業アカウントの存在などもありその辺りはルーズなのかもしれません。

乗っ取られると信用を失います。また、過去のログが消されます。消されるだけならまだしも、犯行がバレるのを遅らせたり投稿により邪魔されないように既存のフォローワーを全部ブロックかけていました。そして何よりそれらツールのDBが壊れたようで、私の場合「誰をブロックしてるか」もわからない状態におちており、サポートは未だ治す様子がありません。

申し訳ありませんが、ご報告いただいた問題についてTwitterは対応できません。Twitterの商品や機能についての詳細は、ヘルプセンター（https://support.twitter.com）を確認されることをおすすめします。

なぜ乗っ取られる対象になるか。有名人でも金持ちでもありませんが、Twitterが生まれてすぐに@32というアカウント、わたしのラッキーなアイデンティティ（ミツ）番号で利用しているからでしょう。数字のアカウントは生成できなくなったそうです。私の7万7千ツイートは、画面には数字ででているけど、残っていません。フォローしてくださった人は全部ブロックリストに入ってますが、リストが0件になっており確認ができません。一個ずつ連打して解除するんですが、誰がどうなってるか報告いただくしかない。ブロックしてたら連絡こないのでわからないとつまった状態。他の手段でご連絡お待ちしております。