10月に入ってから目についた、TwitterとFacebookを舞台にした詐欺的行為についてお伝えする。どちらも英語圏のユーザーが主なターゲットとなっているが、国内のユーザーも引っかかってしまう可能性があるので、注意していただきたい。
■Twitterのダイレクトメッセージでフィッシングサイトに誘導
10月3日頃から数日間、国内のTwitterユーザー間で、フィッシング目的の英文ダイレクトメッセージ（DM。Twitterを介して送る非公開メッセージ）が多数、飛び交った。
メッセージには短縮URLを使ったリンクが記載されており、クリックすると、Twitter公式サイトを装った英語表記の偽サイトに誘導される。この偽サイトを正式なTwitterのログイン画面だと思い込み、ユーザー名とパスワードを入力してしまうと、それらが攻撃者の手に渡ってアカウントを乗っ取られてしまう。攻撃者は、今度はあなたのアカウントから、あなたをフォローしている人へ同様のDMをばらまき始める。
偽サイトのドメイン名は、「twittelr.com」など、Twitterの正しいドメイン名「Twitter.com」とよく似た紛らわしいものとなっている。出回ったDMは数種類あるが、「I saw a real bad blog about you, you seen this?」というメッセージが特に多かった。
編集部では6月頃から、今回と同じ攻撃者がこうした攻撃活動を行っていることを観測している。今回は、9月下旬から始まった攻撃が国内のユーザーに飛び火した模様だ。
Twitterユーザーは、自衛のために以下の2点を押さえておこう。まず、Twitterは各国語に対応しているので、アクセスするとブラウザの言語設定に従ったページが表示される。通常、国内のユーザーは日本語のログインページを利用しているだろう。英語のログインページが表示されたときは、警戒してほしい。
また、Twitterにログインする際に、アドレス頭部の「http」を「https」に直す癖をつけておくことをおすすめしたい。TwitterではEV証明書を使用しているため、こうすると、アドレスバー（ロケーションバー）にグリーンで「Twitter, Inc.(US)」と表示され、正式なTwitterのサイトであることが一目で分かる。EV証明書とグリーン表示については、下欄のトピックスをご覧いただきたい。
（2011/10/11 ネットセキュリティニュース）