米司法省は2日、Xに対する大規模なパスワード復旧攻撃についてXと連携して捜査していると発表した。数十万人規模のユーザーアカウントが標的にされたといい、アカウント乗っ取りが実行される前にXが攻撃を阻止したとしている。
パスワード復旧攻撃とは、正規のログイン情報を破らずに「パスワードを忘れた」場合の再設定機能を悪用し、アカウントの管理権限を奪う手口を指す。SMSやメールでの本人確認プロセスを狙うケースが多く、大量のアカウントに対して機械的に試行される点が特徴だ。
トッド・ブランシュ司法長官は自身のX投稿で、攻撃を「洗練されたサイバー犯罪者」によるものと説明し、Xと協力して実行者の特定を進めていると明らかにした。同氏は「画面の裏に隠れて犯行を働く者に逃げ場はない」とも述べた。具体的な攻撃手法や被害の有無については、司法省・X双方から詳細は明らかにされていない。
Xは仮想通貨関連の企業・著名アカウントが情報発信の主要な場として利用されている。過去には乗っ取られたアカウントから偽の給付金・エアドロップキャンペーンへの誘導リンクが投稿される被害が繰り返し発生してきた。今回のような大規模な乗っ取り未遂も、成功すれば同様の詐欺投稿に悪用されるおそれがあった。
司法省は今回の攻撃について具体的な標的属性を明らかにしていない。身元特定に向けた捜査は継続中とされ、これまでのところアカウント侵害が確認された事例は公表されていない。
