Endpoint Protection

現在、Facebook で新しいスパム攻撃が広がっています。このスパムは次のような見かけをしています。

この要求に使用されているアプリケーションID が「6628568379」となっているのは、この投稿が iPhone から送信されたように見せかけるためです。もちろん実際にはそうではなく、これは詐欺行為に信憑性を持たせるための手口にすぎません。

メッセージの内容は少しずつ異なり、以下の 3 つの部分を組み合わせてランダムに生成されています。

最初の部分:

• hey（やあ）
• HEY（やあ）
• OMG（たいへん）
• omg（たいへん）
• omg!（たいへん!）
• OMG!!（たいへん!!）
• ROTFL（すげー笑える）
• WTF（なんてこった）
• wtf（なんてこった）
• wtf!!（なんてこった!!）
• WTF!!（なんてこった!!）
• YO（ねえねえ）
• yo（ねえねえ）
• YO!（ねえねえ!）

2 番目の部分:

• I can't believe you're（信じられないけど、あなたが）
• i cant believe youre tagged（信じられないけど、タグ付きであなたが）
• what are you doing（何してるのかわからないけど、あなたが）
• why are you（なんでかわからないけど、あなたが）
• why are you tagged（なぜだかタグ付きで、あなたが）
• you look so stupid（あなたがマヌケづらで）
• you should untag yourself（タグを削除したほうがいいよ、あなたが）

3 番目の部分:

• in this vid（映ってる）
• in this video（この動画に映ってる）

ユーザーが動画をクリックすると、悪質な JavaScript がクリップボードにコピーされ、アドレスバーにそれを貼り付けて（Ctrl+V）、Enter キーを押すように求められます。

次に、以下のメッセージが表示されます。Facebook とよく似たルックアンドフィールですが、騙されてはいけません。アンケートに回答してもアカウントが確認されるわけではなく、スパマーが手数料を稼ぐだけです。

しかも、スパム動画へのリンクは、攻撃の拡散を狙って友達リストの全員にも送信されます。

このようなメッセージを受け取ったときには用心してください。うっかりリンクをクリックしてしまった場合には、他のユーザーが同じ手口に引っかからないように、ウォールから削除するかスパムとして報告することをお勧めします。

Facebook のエンジニアは、すでにこのセルフクロスサイトスクリプティングの問題に取り組んでいます。悪質なページと不正アカウントを強制的に停止するメカニズムを開発しているほか、スパムの拡散を食い止めるために、被害を受けたユーザーに対してチェックポイントの確認を促す指導を行っています。また、このような攻撃の拡散スピードを遅らせるバックエンド対策も存在します。シマンテック製品をご利用のお客様であれば、新しい対策が順次適用され、常にプロアクティブに保護されますので、ご安心ください。

クリックする前によく考えてください。アドレスバーにコードを貼り付けることは禁物です。また、ソフトウェアを常に最新の状態に保つようにしてください。

この新しいスパム攻撃について注意を喚起してくれた Karthik Selvaraj 氏に感謝します。

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。