Fox on Security

セキュリティリサーチャー(インシデントアナリスト)で、セキュリティコンサルタントのキタきつねの独り言。専門はPCI DSS。

YouTubeアカウントが狙われている

ハッカーYouTubeアカウントをハッカーが狙う記事が出ていました。記事を読むと理由がよく分かりました。
www.hackread.com

 

現在、サイバーインテリジェンス企業のInSightsのセキュリティリサーチャーは、主にマルウェアの配布、恐喝、疑いのない視聴者を捕まえる詐欺スキームの起動など、暗いWebマーケットプレイスでの盗まれたYouTubeアカウント認証情報の需要の急増を報告しています。

(中略)

ダークウェブに関する調査では、アンダーグラウンドマーケットプレイスのユーザーの約80%がYouTubeの認証情報の購入に関心を示していることがわかりました。Maor氏によると、最も懸念される側面は、盗まれたアカウントの元の所有者が脅迫に対して脆弱になることです。

(HackRead記事より引用)※機械翻訳

 

キタきつねの所感

日本でも新型コロナウィルスの影響で多くのプロ芸人が、YouTuber副業に参入していますが、世界でも巣籠り中でも収益を上げる事が出来る手段として、YouTube利用者は多く、Web広告費の全体的な縮小が言われている中で、競争が激しくなっています。

 

そんな状況の中で、YouTubeアカウントが何故攻撃を受けるか?と疑問だったのですが、ハッカー側も巣籠り中であり、家からでも攻撃が出来る対象としてYouTubeアカウントを狙っている様です。

侵害したアカウントの「活用法」としては、主に2つあります。

ひとつは、YouTuberが不正に気付いてアカウントを取り戻す行動をとる前に、アクセス数の多いアカウントを使って、違法なコンテンツ販売や別サイトへの誘導、マルウェアのダウンロード、フィッシング詐欺を狙う宣伝に利用(悪用)する事です。

著名なYouTuberアカウントであれば、その信用を悪用されてチャンネル登録者を騙す事につながりますので、「YouTuberの信頼」が将来に渡って棄損される可能性があります。

 

もう1つは、記事中でも懸念として挙げられている、小~中規模YouTuberに対する攻撃です。

「小さなチャンネルは大きなチャンネルほど収益性が高くないかもしれませんが、YouTuberは収入源としてそれらに依存しており、攻撃者にコンテンツとチャンネルへのアクセスを取り戻すためにお金を喜んで支払う可能性があります」とMaorはブログ投稿で述べています。

(HackRead記事より引用)※機械翻訳

 

こちらの方が現実的かも知れません。著名なYouTuberはセキュリティ面でも気を使っている可能性は高いかと思いますが、新型コロナ禍でYouTuber市場に参入した方(例えば著名な芸人)は、脇が甘く、こうしたハッカーの攻撃に耐えられないかも知れません。

この攻撃が嫌らしいのは、アカウントをロックされるYouTube新規投稿が出来なくなる)事だけでなく、コンテンツを消されてしまう可能性もある所です。

バックアップをしっかりと取っているYouTuberであれば被害は抑えられますが、YouTuberは過去の投稿まで含めて、トータルのアクセスが重要となります。過去の投稿まで全てバックアップがあるか・・・と考えると怪しい方も居るかと思いますし、仮にバックアップがあったからと言って、復旧がすぐに出来るとは限りません

基本的な所ではありますが、バックアップの重要性がランサムウェア攻撃の対策と同様に重要なのだと思います。

 

1点不思議だったのが、YouTubeは2段階認証をサポートしているはずなのに、何故アカウント侵害が続き、DarkWeb販売がされているのか?と言う点です。

もちろん、YouTuberがフィッシングに引っかかって、2段階認証情報まで含めて(中間者攻撃にて)認証情報を窃取されてしまう事があるのは分かるのですが、多くのYouTuberアカウントへの侵害が成功する理由としては不十分な気がします。

www.itmedia.co.jp

 

この部分について記事中では、こう考察していました。

ただし、最近の売り手が2FAについて言及していないことは非常に驚くべきことであり、盗まれたアカウントが2FAで保護されていなかったことを示しています。これはもう1つの懸念事項です。

(HackRead記事より引用)※機械翻訳

 

つまりDarkWeb等で販売されているYouTubeアカウントは「2段階認証」について何も言及されていない=2段階認証がセットされてないのです。

 

平たく言えば、プロやセミプロであるYouTuberの少なくても一部が、パスワードだけで自身の収益の源であるアカウントを保護している事を意味しています。

 

2段階認証で100%不正を防げるわけではありませんが、かなりセキュリティは向上するはずです。仮に2段階認証をセットしてなかったとしても、パスワードが強固であれば、まだ良いのですが、下記の様な記事を見ていると、統計上「それは無い」気がしてなりません。

japan.zdnet.com

 

当たり前のセキュリティ対策をやるべき人がやる、シンプルに書けばこれだけなのです。日本のYouTuberの方もご注意下さい。

もしYouTuberの方で、セキュリティ対策をご心配の方が居れば格安で相談にのりますのでご連絡下さい。

 

 

本日もご来訪ありがとうございました。

Thank you for your visit. Let me know your thoughts in the comments.

 

 動画配信のイラスト

 

更新履歴

  • 2020年6月5日 AM(予約投稿)