「Xであなたをブロックした人が分かる」サイト拡散　ソースコードを見たら、IDとパスワード外部送信

　X上で「あなたをブロックしている人の状況を確認できる」とうたうWebサービスが拡散している。XのIDとパスワードの入力を求める作りだが、ITmedia NEWS編集部がページのソースコードを見てみたところ、入力した情報をそのまま外部のサーバへ送っていた。画面に出る人数もランダムな数値で、認証情報を盗むフィッシングサイトとみられる。

【画像】「診断完了」として人数を出す結果画面

　問題のサイトは、米Cloudflareの無料ホスティングサービスで作ったもの。でたらめなIDとパスワードを入れて「ブロックをチェックする」ボタンを押すと、「診断完了」の画面に切り替わり、「ブロックしてる人数」として数値を表示した。ただ、この数値はページ内のスクリプトが生成した乱数で、実在しないアカウントのIDを入れても人数が出るなど、信ぴょう性はない。

　入力情報の送信先は、Cloudflare上に用意されたアドレス1カ所のみ。ボタンを押すと、IDとパスワードを暗号化しないままそこへ送る仕組みで、アドレスにはXの旧称をもじった文字列を使っている。

　結果画面の下部には「Xで結果をシェアする」ボタンが表示される。押すと診断結果を装う文面が入った投稿画面が開き、体験談を装った投稿で次の利用者を呼び込む導線になっている。