
ユーザー「アカウントを作成する前にそのアカウントを乗っ取る」という常識ではあり得ないような攻撃手法が発見されたそうだ。Avinash Sudhodanan氏とAndrew Paverd氏の二人のセキュリティ研究者が見つけたもので、二人はこの攻撃手法を「Pre-hijacking Attack」(プリハイジャック攻撃)」と呼んでいるそうだ(
Malwarebytes、
TECH+)。
この攻撃方法は5種類の方法に分類されており、一つはメールアドレスを使った2つのアカウントの相互作用の欠陥を使用する「Classic-Federated Merge (CFM)攻撃」。二つ目は先の攻撃手法のサイバー犯罪者とユーザの立場が逆になった「Non-Verifying Identity Provider (NV)攻撃」。三つ目はユーザーによるパスワードリセットの際に電子メール変更リクエストを無効化しない問題を悪用した「Unexpired Email Change (UEC)攻撃」。
四つ目は認証されたユーザーがパスワードリセット後に、アクティブなアカウントからサインアウトされないという欠陥を悪用する「Unexpired Session (US)攻撃」。最後はCFM攻撃とUS攻撃を組み合わせた「Trojan Identifier (TID)攻撃」となっている。研究者らが人気の高いWebサイト75か所を調査したところ、35以上のWebサイトが少なくとも1手法のプリハイジャック攻撃に対して脆弱な状態だったとしている。
あるAnonymous Coward 曰く、
5種類の攻撃方法が例示されているが、全体的に、同じメールアドレスで先にアカウントを登録しておいて正規アカウントが紐づけられたら乗っ取るみたいな方法のようだ?
すべて読む
| セキュリティセクション
| セキュリティ
| インターネット
|
関連ストーリー:
着信転送サービスを悪用した WhatsApp アカウント乗っ取り、日本では大丈夫か
2022年06月05日
本人よりも詐欺師の方が高い「秘密の質問」の正解率
2022年04月26日
Google、2段階認証の標準化によりアカウントの乗っ取り被害が50%減少
2022年02月15日
福井県のTwitterアカウント「ふくいブランド」乗っ取り被害か
2022年02月10日
昨年 7 月の Twitter アカウント大規模侵害事件、新たな逮捕者が出る
2021年07月25日
Twitter、15日のアカウント侵害インシデントに関する情報や対策を発表
2020年07月19日