1枚の写真から顔認識システムでSNSのアカウントを探し当てて追跡するツールが開発される

by moggs oceanlane

セキュリティ企業のTrustwaveが、ソーシャルメディアネットワークのアカウントを追跡する「Social Mapper」を開発したと発表しています。Social Mapperは入力した顔写真から顔認識機能を使ってオンライン上にアップされている写真を検索してアカウントを特定するというオープンソースのツールとなっています。

Mapping Social Media with Facial Recognition: A New Tool for Penetration Testers and Red Teamers
https://www.trustwave.com/Resources/SpiderLabs-Blog/Mapping-Social-Media-with-Facial-Recognition--A-New-Tool-for-Penetration-Testers-and-Red-Teamers/

Social Mapperは、あらかじめ用意しておいた顔写真やLinkedInのプロフィールを入力すると、検索対象者の解析を行います。

そして検索対象者の解析が終了すると、Social Mapperは顔認識を利用して同じ画像をインターネット上から検索します。Social MapperはAPIを利用せず、「写真を見ながらブラウザ検索を続けていく」という工程をすべて自動で行うシステムになっています。もちろん、APIを利用するツールによるスキャンと比較すると、Social Mapperの検索プロセスはかなり時間がかかってしまいます。Trustwaveは「オンラインでの情報収集は時間がかかるプロセスです。Social Mapperを使って1000人の対象リストを検索すると、およそ15時間以上かかる可能性があります」と述べています。対応しているソーシャルネットワークのプラットフォームは、LinkedIn・Facebook・Twitter・Google＋・Instagram・Vkontakte・Weibo・Doubanです。

Social Mapperは、フィッシング詐欺で用いられるようなさまざまな手口でアカウントに接触します。例えば、Social Mapperは、対象とフレンドになるための偽のプロフィールを作成し、プロフィールの閲覧資格を偽アカウントに与えるようなリンクをメッセージで対象に送信します。Trustwaveによると、ソーシャルメディアのメッセージ機能でリンクを送った場合、電子メールで送信した場合に比べてクリック率が2倍以上になるとのこと。

検索の最終結果は、検索対象者の名前とSNSのアカウントをまとめたスプレッドシートという形で出力されます。例えば以下の画像は、検索結果からFacebookアカウントを特定したことを示すものです。

ソーシャルメディアを監視するソフトは、Social Mapper以外にも存在しています。例えば、「Geofeedia」と呼ばれるソフトは位置情報が付与されたメッセージや写真をSNSから抽出して監視でき、アメリカの法執行機関が活動家を監視下に置くために利用していることが明らかになって問題となりました。

Trustwaveは、フィッシング詐欺に対する脆弱性を明らかにして注意を促す「倫理的ハッキング」を目的としてSocial Mapperを開発したと主張しています。Social Mapperのコードはオープンソースとなっていて、GitHubで誰でも自由に入手することが可能です。