Xのブロック確認ツールでアカウント乗っ取り？生成AI使用のフィッシングが展開中

「ブロックされているかを確認！ | X (旧Twitter) ブロック確認ツール」——。このサイトを開いたところ、Xのアカウントにログインできなくなったというポストが拡散されています。

このサイトはアカウントを乗っ取るいわゆるフィッシングサイトで、生成AIを使って作成されたとみられています。

ブロック確認ツールに偽装したフィッシングサイトに注意

「ブロックされているかを確認！ | X (旧Twitter) ブロック確認ツール」と書かれたリンクを開いたところ、アカウントにログインできなくなったとする投稿がXで拡散されています。

筆者が確認したところ、このリンク先を開くと［ブロックユーザー確認ツール］というWebページが表示されました。

このWebページのタイトルは「ブロックユーザー確認ツール - X (旧Twitter) 公式ツール」となっており、画面には［Xにログインして確認を開始］というボタンが表示されています。

このボタンをクリックすることで、［Xアカウントにログイン］という画面が表示され、メールアドレスやパスワードの入力を求められます。

この画面で電話番号、メールアドレスまたはユーザー名と、パスワードを入力してしまうと、Xのアカウントを乗っ取られてしまいます。

［ブロック確認の為にbotがログインするため、ログイン通知が表示されますが、ブロック確認後即ログアウトされます］というメッセージは、攻撃者によるログインを被害者が不審に思うことを防ぐ狙いがあると考えられます。

このフィッシングサイトは、Cloudflareの無料の静的ホスティングサービス「Cloudflare Pages」でホストされており、筆者は記事執筆時点で以下のドメインでの展開を確認しています。

• blocktool[.]pages[.]dev
• blocktools[.]pages[.]dev
• blockcheck[.]pages[.]dev

これらのうち、筆者が実際に稼働を確認した1件についてCloudflareに通報したところ、サイトが閉鎖されました。Cloudflareが対応したためか、攻撃者が自ら削除したためかは不明です。

これら3件のサイトはいずれも削除されており、有志が作成したWebページに置き換わっています。

「ぶろるっく」のような、Xで自分がどのアカウントからブロックされているかを確認できるツールのほとんどは、XのAPIの有料化によって利用できなくなりました。

今回のフィッシングサイトは、「誰にブロックされているか知りたい」というユーザーの心理を利用してアカウントの認証情報を盗み取るものです。

［本ツールはX（旧Twitter）社の**公式API**を利用して情報を取得します。（原文ママ）］というメッセージが確認できますが、筆者が確認した限りでは公式APIを使った処理は見受けられず、認証情報をDiscordに送信しているだけでした。

もしサイトを開いてしまったら？

前述の拡散されていたポストでは、リンク先を開いただけでアカウントを乗っ取られたかのように読み取れますが、実際には被害者が自らログイン情報を入力した可能性が高いと考えます。

現在のブラウザーはセキュリティを重視しているため、リンクを開いただけの被害者のアカウントを乗っ取ることは、未知の脆弱性がない限りは不可能です。

したがって、今回のフィッシングサイトもユーザーが自ら情報を入力したことにより、アカウントを乗っ取られた可能性が高いと考えられます。

このようなフィッシングサイトを開いてしまった場合は、何も情報を入力せずに閉じればアカウントを乗っ取られることはありません。

X（Twitter）のスパムDMを開いてしまったときの対処法と気をつけるべきこと

Twitterを利用していると、知らないアカウントから怪しいDM（ダイレクトメッセージ）が届くことがあります。この記事では、スパムDMを開いてしまった場合の具体的な対応方法を解説します。

2025年3月2日

今回のフィッシングサイトは入手した情報をDiscordに送信しており、手動で不正にログインしていると思われるため、仮に情報を入力してしまったとしても、攻撃者がログインする前にパスワードを変更すれば被害を防げる可能性があります。

そもそも、公式サイト以外にパスワードなどの情報を入力しないように注意することが重要です。

また、アカウント連携にも注意が必要で、たとえば「私のTwitter家族」「私のTwitterやりとりークル」といったサイトは、アカウントを操作して見知らぬアカウントをフォローさせることを目的としており、犯罪組織の資金源となっている可能性があります。

「私のTwitter家族」「私のTwitterやりとりークル」は危険なスパム　犯罪組織が関わっている可能性も

Twitter（X）で「私のTwitter家族」「私のTwitterやりとりークル」などを見かけたことはありませんか？実は、これは悪質なスパムです。また、犯罪組織がかかわっている可能性もあります。この記事では、「私のTwitter家族」「私のTwitterやりとりークル」などの問題点や危険性について解説します。

2024年2月5日

サイトの作成に生成AIを使用か

昨今のWebフロントエンド開発では、生成AIを積極的に用いることが少なくありません。

今回のフィッシングサイトのプログラムには、処理内容を解説する丁寧なコメントが記載されていることから、AIを用いて作成したものとみられています。

Cloudflare Pagesのみではサーバー上でプログラムを実行できないため、このサイトはDiscordに簡単にメッセージを送信できる「Webhook」と呼ばれる仕組みを用いて、取得した情報をブラウザーから直接Discordに送信しています。

すべてのプログラムを外部から確認できるようになっていたこと、またプログラム内に「高信憑性・二段階フィッシングツールによる自動送信」「成功メッセージを表示し、フィッシングのフェーズを完了」のように、自らフィッシングであることに言及した箇所がみられたことなどから、攻撃者はWebフロントエンドに詳しくなく、AIが生成したプログラムをそのまま使用した可能性があります。

セキュリティの基本で被害を防げる

今回話題となったサイトは典型的なフィッシングサイトです。

「正規のサイト以外にパスワードなどの情報を入力しない」「安易にアカウント連携しない」といったセキュリティの基本を意識するだけで被害を防げます。

インターネット上には有用なサイトもあれば、悪意のあるサイトもあります。

仮に友人から送られてきたサイトであっても、安易に信用しないようにしましょう。その友人がアカウントを乗っ取られている可能性や、危険なサイトと知らずに共有してしまった可能性もあります。

使う前に一度立ち止まり、少しでも不審に思ったり迷ったりしたら使わないという選択を取れることが理想的です。