Xの大規模パスワード再設定攻撃、米司法省が捜査協力　被害は阻止、手口などはなお不明

米国のトッド・ブランチ司法長官は、数十万人のX利用者を狙ったパスワード再設定攻撃について、司法省がXと「緊密に連携」し、背後にいる人物の特定を進めていると表明した。ブランチ長官は実行者を「高度なサイバー犯罪者」と呼び、Xが利用者アカウントの乗っ取りを防ぐため攻撃を遮断したと説明している。1

何が起きたのか

標的になったのは、Xの「パスワードを忘れた場合」やアカウント復旧の手続きだったとみられる。利用者が自ら操作していないにもかかわらず、再設定手続きを大量に発生させ、アカウントへの不正アクセスを試みるタイプの攻撃である。

現時点で報じられている内容によれば、Xはアカウントが乗っ取られる前の段階で試行を阻止した。つまり、侵害後にアカウントを取り戻したというより、攻撃の実行中に食い止めたという位置づけになる。1

まだ公表されていない重要な点

司法長官の声明と公開報道では、捜査上の詳細は明らかにされていない。少なくとも以下は未公表である。

• 容疑者や犯行グループの身元
• 金銭目的か、国家関与が疑われる活動かを含む動機
• 悪用された脆弱性、またはソーシャルエンジニアリングの具体的手法
• 攻撃の発信元
• 収集された証拠の内容
• 実際に侵害されたアカウントがあったのか、あった場合はその件数

このため、この事案を「AIを使った攻撃」や「ランサムウェア攻撃」と断定することはできない。公開情報は、そのどちらも裏付けていない。1

AIサイバー脅威との関係は「文脈上」のもの

AIや自動化技術は、認証情報を狙う攻撃、フィッシング、事前調査、脆弱性探索を低コストかつ大規模に行う能力を高め得る。その意味で、短時間に多数の利用者を狙う今回のような事案は、AI時代のサイバー防御で課題となる速度と規模を示す例にはなる。

ただし、今回の攻撃でAIが使われたとの発表はなく、世界的なAI関連サイバー攻撃やランサムウェアの増加と直接結び付ける根拠も示されていない。ここは、確認済みの事実と一般的な脅威認識を分けて見る必要がある。1

米ホワイトハウスの「GOLD EAGLE」とは

より広い政策面では、米ホワイトハウスが7月14日に発表した「GOLD EAGLE」構想がある。これは、AI開発企業、ソフトウェア企業、重要インフラの事業者などが、AIシステムによって見つかったサイバーセキュリティ上の脆弱性に関する情報を共有し、対応を連携させるための情報集約・調整の仕組みとされる。2

今回のXへの攻撃は、大規模で進行の速い脅威に対し、情報共有と共同対処を迅速化する意義を示す事例とはいえる。一方で、GOLD EAGLEがこの攻撃の阻止に関与したことを示す情報はない。12

利用者としては、心当たりのないパスワード再設定メールや認証コードを受け取っても、メール内のリンクを安易に開かず、公式アプリや公式サイトからアカウント状況を確認するのが基本となる。可能であれば、多要素認証も有効にしておきたい。