乗っ取られた AV-TEST の公式 Twitter アカウント、復元までに 1 週間を要する

headless 曰く、

AV-TEST の公式 Twitter アカウント (@avtestorg) が乗っ取られ、回復までに 1 週間を要したそうだ (PCMag の記事、 Neowin の記事)。

AV-TEST CEO の Andreas Marx 氏によると、アカウントがハックされたのは 7 月 25 日。10 分ほどのちによく知られたセキュリティリサーチャーが WhatsApp で異変を知らせてきたのをはじめとして、次々に通知が届いたという。

Marx 氏は Twitter にログインしようとしたが既に利用できなくなっており、Twitter からはロシア語の電子メールでパスワード変更や電子メールアドレス変更の通知が届く。ドイツ人の Marx 氏はドイツ語で Twitter を使用しており、攻撃者はアカウントへのアクセスを獲得後、言語変更を行ってからパスワードや電子メールアドレスを変更したとみられる。

Marx 氏はすぐに Twitter サポートへ連絡したが、乗っ取られたアカウントが明らかなスパム投稿に使われているにもかかわらず、Twitter 側の反応は鈍い。2 日待っても応答はなく、ドイツ語のツイートに使用している別アカウント (@avtestde) でも @TwitterSupport に呼び掛けているが、少なくともさらに 2 日間は反応がなかったようだ。

Twitter アカウントは強いパスワードを使い、2 要素認証も有効にしていたため、Marx 氏はセッションの乗っ取りによるアカウント乗っ取りとみているそうだ。しかし、電子メールアカウント変更で 2 要素認証が行われなかった理由は不明だ。また、電子メールアカウント変更時の元のアカウントへの通知では新しい電子メールアドレスが一部非表示となっており、元のアカウント側での確認処理は不要だったという。そのため、これらの点は Twitter のセキュリティ上の弱点だと Marx 氏は指摘している。