米ツイッターが２月１日に25万人にも及ぶ個人情報が流出したことを明らかにしてから、１カ月が経過した。流出した件数は、２億を超えるアカウントのうちの25万だが、同サービスのユーザーにはいくつかの影響が推測される。その後も、米フェイスブックや米マイクロソフトへのサイバー攻撃が相次ぐなか、ツイッターから流出した情報の意味と影響が及ぶ可能性を整理し、同様のサービスから情報が流出したときにユーザーが取るべき対策を提案する。

■なりすましも可能にするセッションＩＤが漏洩

　ツイッター社が発表したブログによると、１月下旬に同社の利用者情報を管理する情報システムへ、通常とは異なるアクセスがあったという。「この攻撃は食い止めたものの、調査の結果、約25万人のユーザー名やメールアドレス、セッションＩＤ（通信の際に使われるユーザーを識別するためのＩＤ情報）、暗号化したパスワードなどが流出した可能性がある」という。さらに「今回の攻撃はアマチュアによるものとは考えにくく、（ツイッターだけを狙った）単体のものではなかったようだ」「攻撃を受けたであろうアカウントのパスワードなどはリセットしたが、それ以外のユーザーも、最低でも10文字、大文字と小文字、数字、記号などを混ぜた強いパスワードを使い、同じパスワードを他のサービスに使い回さないようにすべきだ」といった情報を発信した。

　流出した情報は「ユーザー名やメールアドレス、セッションＩＤ、暗号化されたパスワード」というが、これら情報で何ができるのだろうか？

　実はこの中でもっとも注意すべき情報は、セッションＩＤだった。流出したセッションＩＤを悪用すると、悪意を持つ第三者が本来のユーザーになりすまして投稿をしたり、ほかのユーザーと直接メッセージをやり取りする「ダイレクトメッセージ」を使ったり、非公開の登録者情報を閲覧、変更したりできるようになるからだ。

　ツイッターは事件発覚後速やかにセッションＩＤを破壊したとしており、この問題が大きく発展する可能性は低いように見える。ただし既に第三者が秘密のメッセージなどを大量かつ迅速に収集していたとすると、あとになってから問題が顕在化する可能性がある。