Reddit従業員のアカウントが奪取されデータ漏えい。SMSを使った2要素認証が突破される

あるAnonymous Coward 曰く、

Redditがサイバー攻撃を受け、利用者データなどが盗まれたことを明らかにした。盗まれた絵データにはメールアドレスやハッシュ化されたパスワードが含まれているという。

Redditによると、6月19日に同社従業員の複数のアカウントが攻撃者に奪取されたことが発覚したという。攻撃を受けたのは6月14日から18日の間で、このアカウントには同社が利用しているクラウドやソースコード管理システムへにアクセスするためのものも含まれていたという。同社はコードやシステムインフラにアクセスするための認証時に2要素認証を導入しており、ユーザー名やパスワードによる認証に加えて、SMS経由での認証も必要になっていた。しかし、「SMS intercept」という手法を使ってこの2要素認証も突破されてしまったそうだ。

奪取されたのはリードオンリーの権限だったためRedditのシステムが改ざん・破壊されるといった被害はなかったものの、攻撃者はRedditの2007年以降のすべてのデータにアクセス可能であり、これによってアカウント情報やメールアドレス、2018年にRedditからユーザーに送信されたメールの内容が盗まれた可能性があるという。

昨今ではセキュリティの強化を目的として2要素認証の利用が推奨されているが、SMSを利用した2要素認証（SMSでワンタイムパスワード的な認証コードを送信し、その入力を求める）方法については、以前より危険性が指摘されていた（The Verge）。具体的な手法としては、SMSの情報を改ざんする「SIM swapping」というものや、SMS受信時に本文を含んだ通知を表示するような設定をしている場合であればそれを盗み見る、といったものがある。そのため、昨今ではスマートフォンアプリを利用した2要素認証が安全とされている。

これを受けて、Redditは「SMSベースの認証は我々が望んでいたほど安全ではなかった」と述べている。