ツイッターが昨日発表した 3 月 20 日の時点で、ユーザーが Twitter Blue サブスクリプションの料金を支払っている場合にのみ、SMS ベースの 2 要素認証でアカウントを保護できるようになるとのことです。 2 要素認証 (2FA) では、ユーザーはユーザー名とパスワードを使用してログインし、次に数値コードなどの追加の「要素」を使用する必要があります。 セキュリティの専門家は、生成アプリを使用してこれらのコードを取得するように長い間アドバイスしてきました。 ただし、SMS テキスト メッセージで受信する方法が一般的であるため、無料のユーザーがそのオプションを削除したことで、セキュリティの専門家は頭を悩ませています。
イーロン・マスクが昨年同社を買収して以来、Twitter の 2 要素の動きは、物議を醸す一連のポリシー変更の最新のものです。 有料サービスの Twitter Blue (現在、Twitter アカウントで青色の検証済みチェックマークを取得する唯一の方法) は、Android と iOS で月額 11 ドルで、デスクトップのみのサブスクリプションではそれより安くなります。 SMS ベースの 2 要素認証から起動されるユーザーには、認証アプリまたは物理的なセキュリティ キーに切り替えるオプションがあります。
「歴史的に人気のある 2FA の形式ですが、残念ながら、電話番号ベースの 2FA が悪用され、悪用されているのを見てきました」と Twitter は書いています。 ブログ投稿 昨日の夕方公開。 「そのため、今日から、アカウントが Twitter Blue のサブスクライバーでない限り、2FA のテキスト メッセージ/SMS メソッドに登録することを許可しなくなります。」
の アカウントのセキュリティに関する 2022 年 7 月のレポート、Twitter は、アクティブなユーザーの 2.6% だけが任意の種類の 2 要素認証を有効にしていると述べています。 これらのユーザーのうち、75% 近くが SMS バージョンを使用していました。 ほぼ 29% が認証アプリを使用しており、物理的な認証キーを追加したのは 1% 未満でした。
SMS ベースの 2 要素認証は、攻撃者がターゲットの電話番号を乗っ取ったり、他の手法を使用してテキストを傍受したりできるため、安全ではありません。 しかし、セキュリティの専門家は、SMS の 2 要素を使用することは、2 つ目の認証要素をまったく有効にしないよりもはるかに優れていることを強調してきました。
Apple や Google などの技術大手は、SMS の 2 要素認証のオプションをますます排除し、ユーザーを (通常は数か月または数年かけて) 他の形式の認証に移行させています。 研究者は、Twitter のポリシーの変更により、移行を完了する時間が非常に短くなり、SMS の 2 要素がプレミアム機能のように見えるため、ユーザーが混乱するのではないかと心配しています。
「Twitter ブログは、テキスト メッセージを使用する 2 要素認証が悪意のある人物によって頻繁に悪用されていることを指摘しています。 他の 2FA 方式よりも安全性が低いことに同意します」と、カーネギー メロン大学の使用可能なプライバシーおよびセキュリティ ラボのディレクターである Lorrie Cranor 氏は述べています。 「しかし、彼らの動機がセキュリティであるなら、有料アカウントも安全に保ちたいのではないでしょうか? 安全性の低い方法を有料アカウントだけに許可するのは意味がありません。」
同社は、2 要素への変更を 3 月中旬に展開すると述べていますが、SMS の 2 要素を有効にしている Twitter ユーザーは、昨日、2 要素を完全に削除するか、「認証アプリまたはセキュリティ キーの方法。」
ユーザーが新しい期限までに SMS 2 要素を無効にしないとどうなるかは不明です。 ユーザーへのアプリ内メッセージは、変更が正式に行われる 3 月 20 日に SMS 2 要素がオンになっているユーザーはアカウントからロックアウトされることを意味します。 「Twitter へのアクセスが失われないようにするには、2023 年 3 月 19 日までにテキスト メッセージの 2 要素認証を削除してください」と通知は述べています。 しかし、Twitter のブログ投稿によると、ユーザーがそれまでに調整しなければ、2 要素は 3 月 20 日に無効になるとのことです。 「2023 年 3 月 20 日以降、Twitter Blue 以外の加入者がテキスト メッセージを 2FA 方法として使用することを許可しなくなります」と同社は書いています。 「その時点で、テキスト メッセージの 2FA が有効になっているアカウントは無効になります。」