ゆめさくセキュリティ

2020年7月15日に発覚、海外、ソーシャルメディア

Twitter 社内ツール乗っ取りによる著名アカウント不正操作

ITサポートを装う電話で社員を騙し、内部ツールの権限を奪って著名アカウントを乗っ取った

何があったか

2020年7月15日、17歳の少年を含むハッカーらがTwitter(現X)のネットワークに侵入し、数十の著名アカウントを乗っ取った。ニューヨーク州金融サービス局(NYDFS)の報告書によると、攻撃者はまずTwitter社員に電話をかけ、社内IT部門を名乗って在宅勤務中のVPN接続の不具合を装い、本物そっくりに作った偽のVPNログイン画面に認証情報を入力させる「ビッシング(音声のフィッシング)」で足がかりを得た。最初に乗っ取った社員のアカウントには内部ツールへのアクセス権が無かったため、攻撃者は社内のイントラネットを調べて他のツールへのアクセス方法を学び、同じ手口で内部ツールの権限を持つ部署の社員を狙った。午前3時台からは希少な短い旧アカウント(OGアカウント)の乗っ取りと売買を試み、午後2時前には内部ツールの画面を撮った画像を乗っ取ったアカウントから投稿した。

その後、暗号資産関連の著名アカウントを乗っ取って「ビットコインを送れば倍にして返す」という詐欺ツイートを投稿し始め、午後4時台からはバラク・オバマ氏やイーロン・マスク氏、ビル・ゲイツ氏ら著名人の認証済みアカウントも次々に乗っ取られた。影響は130アカウントに及び、うち45アカウントから実際にツイートが送信され、7アカウントでは個人情報を含むデータが出力され、最大36アカウントでダイレクトメッセージの受信箱も閲覧された。被害額は約11万8000ドル相当のビットコインだった。Twitterは内部ツールへのアクセス権限を大幅に制限し、全社員にパスワードの再設定を義務づけて、同日午後8時41分には大半のアカウントの機能を回復させたと報告書は記す。

入口
攻撃者がTwitter社員に電話をかけ、社内IT部門を装ってVPN接続の不具合を口実に、本物そっくりの偽ログイン画面へ認証情報を入力させる「ビッシング」で最初の侵入口を得た
決め手の失敗
最高情報セキュリティ責任者(CISO)が2019年12月から不在のまま7か月近く経っていたこと、1000人を超える社員が内部ツールへのアクセス権を持っていたこと、アプリ通知型の多要素認証が社員を騙す手口で突破されたこと、パンデミックによる在宅勤務への移行で生じたVPN関連の問い合わせの多さを攻撃者に利用されたことが重なった
被害
130のTwitterアカウントが侵害され、うち45アカウントから詐欺ツイートが送信された。7アカウントでは個人情報を含むデータがダウンロードされ、最大36アカウントでダイレクトメッセージの受信箱も閲覧された。被害額は約11万8000ドル相当のビットコインだった

攻撃の流れ

  1. 入口攻撃者がTwitter社員に電話をかけ、社内IT部門を装ってVPN接続の不具合を口実に、偽のVPNログイン画面へ認証情報を入力させた(ビッシング)
  2. 偵察最初に乗っ取ったアカウントには内部ツールへのアクセス権が無かったため、社内イントラネットを調べて他のシステムへのアクセス方法を学んだ
  3. 権限の奪取内部ツールへのアクセス権を持つ部署の社員を同じ手口で狙い、アプリ通知型の多要素認証も社員を欺いて承認させ、アカウントを任意に乗っ取れる内部ツールの権限を得た
  4. 拡大まず希少な短いアカウント名(OGアカウント)を乗っ取って売買し、次に暗号資産関連のアカウント、最後に著名人や企業の認証済みアカウントへと標的を広げた
  5. 影響乗っ取った著名アカウントから「ビットコインを送れば倍にして返す」という詐欺ツイートを送信し、約11万8000ドル相当のビットコインを集めた。一部のアカウントでは個人情報の取得やDMの閲覧も行われた

数字で見る

  • 130件 侵害されたTwitterアカウント[1]
  • 45件 詐欺ツイートの送信に使われたアカウント[1]
  • 7件 個人データ(YTD)が出力されたアカウント[1]
  • 最大36件 DM受信箱が閲覧された可能性のあるアカウント[1]
  • 約11万8000ドル相当のビットコイン 被害額[1]
  • 1000人超 当時アクセス権を持っていた社員数[1]

気づいたきっかけ

2020年7月15日の午前、複数のTwitter社員が不審なログインや電話について社内の不正監視チームに報告し、社内のインシデント対応チームが調査を始めたところ、同日午後3時18分頃から暗号資産企業アカウントの乗っ取りが始まった

対応と復旧

Twitterは内部ツールへのアクセス権限を大幅に制限し、パスワードが直近30日以内に変更されたアカウントなどを一時的にロックした。全社員(CEOを含む)に対し、上司とのビデオ会議の場でパスワードを手動で再設定させる検証手続きを課した。同日午後8時41分、大半のアカウントの機能を回復させた。ニューヨーク州知事の要請を受け、NYDFSが7月16日に調査を開始し、同17日に召喚状を発出した

組織が認めた原因と、決めた対策

認めた原因

  • 2019年12月以降、最高情報セキュリティ責任者(CISO)が不在のままだった
  • 内部ツールへのアクセス権を1000人を超える社員に付与しており、職務上必要な範囲に十分絞られていなかった
  • アプリ通知型の多要素認証を使っていたが、社員を欺いて承認させる手口に弱く、ハードウェア型のセキュリティキーなどより強固な方式を採用していなかった
  • パンデミックによる在宅勤務への移行後、リスクの高まりに見合う追加の対策(セキュリティ意識向上研修の強化など)を講じていなかった

公表した再発防止策

  • 最高情報セキュリティ責任者を設置し経営陣が主体的に関与する
  • 内部ツールへのアクセス権を職務上必要な範囲に絞り、定期的に見直す
  • 重要な機能にはハードウェア型のセキュリティキーなど、より強固な多要素認証を要求する
  • 全社員にフィッシングやビッシングを想定した定期的な訓練を行う
  • SIEMなどでログを集約・分析し、異常なアクセスを即座に検知できる体制を整える

自分のサービスで確かめること

  • 電話やチャットで社内IT部門を名乗る相手からの認証情報の要求に、社員が応じない手順になっているか確かめる
  • 強力な権限を持つ内部ツールへのアクセスが、職務上必要な社員だけに限定されているか棚卸しする
  • 多要素認証がアプリ通知型など欺かれやすい方式に偏っていないか確かめる
  • 最高情報セキュリティ責任者など、セキュリティに責任を持つ経営層の役職が空席のままになっていないか確かめる
  • 社内の重要操作(アカウントの乗っ取りにつながる操作など)がログに残り、異常を検知できる仕組みがあるか確かめる

関わる攻撃とレッスン

攻撃の種類

学べるレッスン

時系列

  1. 7月15日 侵入 攻撃者がTwitter社員に電話をかけ、ビッシングで最初の認証情報を入手した[1]
  2. 7月15日 侵入 午前3時頃から希少な短いアカウント名(OGアカウント)の乗っ取りと売買が行われた[1]
  3. 7月15日 発覚 午前中、複数の社員が不審な電話やログインを社内に報告した[1]
  4. 7月15日 侵入 午後3時18分頃から暗号資産関連企業のアカウントが次々に乗っ取られ、詐欺ツイートが送信された[1]
  5. 7月15日 侵入 午後4時17分から6時5分にかけて、著名人や大企業の認証済みアカウントが乗っ取られた[1]
  6. 7月15日 対応 午後5時45分、Twitterがセキュリティインシデントを認識し対応中であると公表した。午後8時41分に大半のアカウントの機能を回復させた[1]
  7. 7月16日 対応 ニューヨーク州知事の要請でNYDFSが調査を開始した[1]
  8. 10月 公表 NYDFSが調査報告書を公表した[1]

攻撃した側について

NYDFSの報告書は、17歳の少年とその共犯者らによる犯行としており、米司法省が同時期に複数の実行者を訴追したと報じられているが、本報告書自体は国家が関与した攻撃とは位置づけておらず、規制当局による正式な国家主体への帰属は無い

出典

2026年10月24日に開いて確かめました。本文の [1] などの数は、この一覧の番号です。

  1. Twitter Investigation Report - A Report on Investigation of Twitter's July 15, 2020 Cybersecurity Incident and the Implications for Election Security New York State Department of Financial Services (NYDFS)、2020年10月、公的機関の資料