Skypeのスパム攻撃、パスワード変更は本当に有効？原因と対策を徹底解説

ここ3週間ほど、「自分のSkypeアカウントから、連絡先にダイエット薬やポルノ関連のスパムメッセージが送信されている」という苦情が相次いで報告されています。被害の規模は明確になっていませんが、公式フォーラムの苦情スレッドはすでに24ページに達しています。こうした状況を受け、Microsoftはユーザーに対してパスワードの変更を呼びかけていますが、問題の根本的な原因については依然として不明な点が多く残っています。

スパムは単なるスパムではない？

通常、メッセージアプリで友人のアカウントからスパムが届く場合、その原因は第三者が不正にアカウントへアクセスしたことです。手法としては、パスワードの推測や、マルウェアを使ってユーザーのPCから認証情報を盗み出すことが一般的です。このケースでは、友人に被害を知らせ、パスワードを変更してもらうのが正しい対応となります（もし自分が意図せずスパムを送ってしまっている側なら、同様の手順で対処できます）。

しかし、同じような被害が短期間に多数発生している場合は話が別です。これはプラットフォーム自体に、攻撃者がログイン情報を窃取できるようなセキュリティ上の欠陥が存在する可能性を示唆しています。例えば、攻撃者がSkypeサーバーからパスワードハッシュのリストを入手できれば、それを解析して総当たり的に突破するのは比較的容易です。推測されやすいパスワードを設定している数百万のアカウントが危険にさらされることになります。もしそれが実際に起きていたなら、パスワード変更は正しい対策です。ただしその場合でも、Skype側が内部の脆弱性に対処することが不可欠です。

ところが、今回の件はそう単純ではない可能性があります。最初の報告を行ったユーザーによると、被害に遭った連絡先が自身のSkype履歴を遡っても、スパムメッセージの送信元を特定できなかったといいます。つまり、メッセージが「なりすまし（スプーフィング）」によって送られた可能性があるのです。これは、パスワード情報の漏洩ではなく、Skypeクライアントがメッセージの送信元を正しく識別できないという不具合に起因するものかもしれません。もし本当にそうなら、事態はより深刻であり、パスワードを変更しても効果はないことになります。

Microsoftの公式見解

フォーラム内では、Skypeコミュニティマネージャーの「Claudius」氏が当初、次のように説明していました。

「スパムを送信している悪意のあるソフトウェア（Malwarebytesやウイルス対策ソフトではまだ検出されていません。Skypeへのスパム送信以外に悪質な動作をしていないためです）が、Skype Desktop APIを利用してIMスパムを送り出している可能性があります」

しかし、この説明には矛盾点があります。一部のユーザーからは「PCの電源を切っている状態でもスパムが送信された」という報告があり、また被害者の中にSkype Desktop APIのアクセス許可リストに不審な項目が表示されていた人はいませんでした。さらに、市販のあらゆるマルウェア対策ツールが何も検出しないというのも考えにくい話です。

これらの指摘を受けて、「Claudius」氏は公式見解を次のように修正しました。

「皆様が経験されたスパム問題について調査のため返信まで数日を要し、申し訳ありませんでした。調査の結果、サイバー犯罪者が自動化された手法を用いて、脆弱なパスワードや使い回されたパスワードを悪用していることが判明しました。当社は既に対応策を実施しており、状況を注視しながら対応を継続します。強力なパスワードの設定をお願いいたします。詳細とサポートについては https://www.microsoft.com/security/pc-security/password-checker.aspx をご覧ください。引き続きスパム被害が続く場合は、パスワードを変更してください。24時間以内にスパムは収まるはずです」

しかし、この説明は疑問を解消するどころか、新たな疑問を生んでいます。強力なパスワードを使用していたにもかかわらず被害に遭ったというユーザーが複数おり、またパスワードを変更してもスパムが止まらないという報告もあります。

さらに、この説明では被害が急増した理由についても触れられていません。広く使われているソフトウェアが常時スパマーの標的になっていることは前提として、なぜこのタイミングでアカウント乗っ取りの報告が急増したのでしょうか。Twitterでの検索結果やフォーラムスレッドの長さから見ても、これは孤立した少数の事例ではないようです。

Skypeは安全なのか？

Microsoftによる買収前後を通じて、Skypeの開発チームはモバイル版・デスクトップ版双方でプライバシー管理機能の強化に多大な努力を重ねてきました。SkypeはMicrosoftにとって看板製品の一つであり、この問題への対応が最優先事項であることは間違いありません。

とはいえ、一連のスパム攻撃の実態は完全には解明されていません。Microsoftの主張通り、これがSkype自体の問題ではない可能性もあります。しかしそれには、相当数のユーザーが誤認しているか虚偽の報告をしている必要があり、少なくとも少し不自然です。もしSkype内部により根本的なセキュリティ脆弱性が存在するなら、現在の被害は氷山の一角にすぎないかもしれません。現時点でもスパム被害の報告は続いています。Microsoftからの追加情報の公開が待たれるところです。

あなたはこの問題の被害に遭いましたか？ Microsoftの対応に不満がありますか？ ぜひコメント欄でお聞かせください！