投稿と削除が繰り返されたFacebookの公式SNSアカウント侵害についてまとめてみた

2020年2月8日、Facebookは同社の公式SNSアカウントが不正アクセスを受け対応したことを発表しました。ここでは関連する情報をまとめます。

Some of our corporate social accounts were briefly hacked but we have secured and restored access
— Facebook (@Facebook) 2020年2月8日

投稿、削除、再投稿

2月7日頃、Facebookの複数のSNSアカウントが不正アクセスの被害を受け、30分程度で復旧した。

Facebookの公式SNSアカウント（Twitter/Instagram）
Facebook Messegenrの公式SNSアカウント（Twitter/Instagram）

発生した事象は次の2つ。

Twitter	勝手に次の投稿が行われた。 Hi, we are O u r M i n e. Well, even Facebook is hackable but at least their security is better then Twitter. to improve your accounts security Contact us: contact@o u r m i n e. org For security services visit: o u r m i n e. org
Instagram	勝手に次の画像の投稿が行われた。

当時の様子を記録した投稿によれば、投稿と削除の繰り返される事象がしばらく続いていた模様。*1

It was fun watching this battle between Facebook and hackers where hackers keep posting tweets and Facebook keeps deleting them pic.twitter.com/c7APEJn38I
— Jane Manchun Wong (@wongmjane) 2020年2月8日

Instgramには無数のOurMineアイコンが並んでいた。

Facebook’s Instagram account also hacked into by ourmine

Bad times pic.twitter.com/AxyaeIwwgN
— Matt Navarra (@MattNavarra) 2020年2月8日

原因はサードパーティアプリ

f:id:piyokango:20200214063309p:plain — サードパーティアプリが狙われた

Twitter広報担当は取材に対してサードパーティアプリ経由で不正アクセスを受けたとコメント。*2
Twitterはサードパーティアプリの具体名への言及は控えたが、当時投稿されていた画像より、SNS管理ツールのKhorosを通じて投稿された可能性が指摘されている。
Khorosは2月7日にある顧客に対する悪意ある活動調査のためとして一時的にサービスの停止を行っていた。
一連の対応の中で、Khorosはフィッシング攻撃による影響を最小限に抑えるための措置を講じている*3として、フィッシング詐欺に対する注意の呼びかけを行っている。

Access to the Khoros Marketing platform was temporarily suspended this evening due to a phishing attack that allowed a bad actor access to our platform. For the latest updates, please subscribe to https://t.co/PHQ932nnsF
— Khoros® (@Khoros) 2020年2月8日

公式Twitterアカウントで投稿された直近600件ではKhoros経由が大半を占めていることがわかる。

f:id:piyokango:20200214061024p:plain — Facebook公式の投稿状況（Whotwiより）

f:id:piyokango:20200214061051p:plain — Facebook Messenger公式の投稿状況（Whotwiより）

戻ってきたOurMine

一連の投稿からOurMineと名乗るグループが関与したとみられている。
OurMineは今年1月27日頃、米NFLチームの公式Twitterアカウントを複数不正アクセスした件やESPNのアカウントでも関連が疑われている。この時もTwitterはサードパーティアプリを通じて不正アクセスが行われたとコメントしている。*4
NFLでもKhorosというアプリ経由の投稿であったが、この時はプラットフォームが危険には晒されていなかったと取材にコメントしていた。*5
OurMineによる活動は2017年以来で、NFLの投稿等では「Hi, we're Back (OuَrMine)」と戻ってきたことを伝えていた。
1月頃に用意されていたOurMineのTwitterアカウント(@OurM1ne)ではのっとりの成果報告が行われていた。