読者の皆さんは「Facebook（フェイスブック）」をご存じですか？

　Facebookは、Facebook, Inc. が提供するSNS（ソーシャル・ネットワーキング・サービス）です。調査会社の米comScoreの調べによれば、APAC地域におけるSNSシェア1位を占めているのがFacebookであったことが発表されています（2010年4月7日付け）。

　「そんなに人気なの？」私自身も、同様の意見です。

　それも無理はありません。米comScoreは先の調査結果においてAPAC地域でFacebookがSNSシェア1位を占めているのはフィリピン、オーストラリア、インドネシア、マレーシア、シンガポール、ニュージーランド、香港、ベトナムでした。対して台湾、インド、韓国、そして日本では各国のローカルプレイヤーがSNSシェア1位を占めていたことが併せて発表されています（なお、日本のトップシェアは「mixi(ミクシィ)」）。

　そんなFacebookですが、最近は日本国内でも追い風が吹き徐々に利用者数を増やしていると聞きます。今日は片時もFacebookから離れられないヘビーユーザに向けて最新の脅威事例を紹介いたします。

　SNSにおけるサイバー攻撃にはいくつか種類があります。今回取りあげるのは「Facebook スパム」です。事例こそFacebookのものですが、類似の攻撃は国内大手のSNSにおいても起こりうるものです。典型的な例を理解してソーシャルメディアにおける注意点を確認いただきたいと思います。

　SNSはそのサイトの特性上、コメントを掲載できる機能は必須のものです。Facebookでは「Wall（掲示板）」と呼ばれる機能が用意されています。「Facebook スパム」はこの「Wall」上で確認されています。

図1-1 「Facebook」の「Wall」上に投稿されているメッセージ

図1-2 「Facebook」の「Wall」上に投稿されているメッセージ

　煽動的なメッセージで利用者のクリックを誘う手口はSNSにおいても同様です。調査においてここは素直に「クリック」です。

図1-3 「Facebook」の「Wall」上に投稿されているメッセージ

　すると適時指示が出されます。「CtrlキーをおしたままC」、「Successfully Copied Code To Your Clipboard!」うむむ…

図1-4 「Facebook」の「Wall」上に投稿されているメッセージ

　今度は「Alt + D」と。なぬ！？「Successfully Selected Your Address Bar!」

図1-5 「Facebook」の「Wall」上に投稿されているメッセージ

図1-6 「Facebook」の「Wall」上に投稿されているメッセージ

　更なる要求は「Ctrl + V」の入力。そろそろ皆さんをセキュリティの世界に戻しましょう。次の図は一連の作業を終えたときのアドレスバーです。なにやら不審なスクリプトが入力されています。ここでメッセージの通り「Finally, press ENTER to reveal!」を実行することは正しい行動でしょうか。

図2 ブラウザのアドレスバーに貼り付けられたJavaScriptコード

　アドレスバーに貼り付けられたJavaScriptコードについて整形してみましょう。

図3 JavaScriptコードを整形し、抜粋

　難読化が施されてなんだかイヤな感じです。難読化を解除し明らかとなったことは、このコードの狙いです。この「Facebookスパム」を送信したサイバー犯罪者はこのメッセージを通じて、彼らが作成したソーシャルアプリケーションを自動的に利用者のアカウントで使用させることを狙っています。

　それだけでなく、利用者とつながりのあるアカウントに対しても同様のメッセージを送ることで更にアプリケーションの使用者数を増やそうとしています。ねずみ算式に拡散していく様子は従来のスパムメールやワーム拡散とも言えるような行為です。

　今回のケースでは致命的な実害はなく、危険度は「低」程度と評価します。その一方で、シナリオを洗練させていけばより甚大な被害に至るような攻撃も計画可能といえます。信頼で成り立っているSNSではこうした「ブービートラップ」の脅威がより高まる傾向にあります。

　インフラやプラットフォームが変わったとしても安易にクリックしない。セキュリティ対策の常識はどのようなものであっても有効なようです。

■参考：Trend Microが管理するFacebook上の公式アカウント

　米、独の各Trend MicroではFacebook上に公式アカウントを用意しています。現在、各アカウントでは英語またはドイツ語のみでの情報提供となりますが、新たな情報収集ソースとして本ブログと併せてご活用ください。