FBページというか、FB広告アカウント、FBビジネスが乗っ取り被害にあった話・・・
FBページに不審なアカウントが招待
FBページ乗っ取り被害の詳細と対応。
2023年6月、FBビジネス、FBページ、FB広告アカウントの乗っ取り被害を体験しました。
正確にはクライアントのアカウントです。
結果としては、FBページもFB広告アカウントも作り直し。
FBビジネスの初期状態になって回復しました。
回復といっても初期状態なのですが・・・
乗っ取りアカウントを排除で回復かと思ったら、取られたページなどはそのまま取られたままという・・・
これは行政の古河市などと同じ状況かと思われます。
古河市Facebookページの乗っ取りに関するお詫びとお知らせ
行政のFBページでも被害にあい、回復はされない。
もしかしたら、乗っ取りと思われるアカウントのみを削除で回復することもあるかもしれません。
しかしそうならずに、同様に初期状態になった方へ向けて情報を共有したいと思います。
FBビジネスが初期状態なので、
・FB支払いアカウント
・FBページ
・FB広告アカウント
それぞれを再作成し、紐付け。そして私に共有してもらいます。
まったく最初と同じ作業ですね。
ただSNSを見ても、乗っ取られたページも存続しているもよう。
そのため、存在している場合はフォローを外すように告知したほうがよいでしょう。
セキュリティとしても、これは脆弱性、バグなのでは？と思っています。
FBビジネスには管理人の招待が必要なのに、招待者情報は表示されませんでした。
かつ、管理人も私も個人のアカウントが乗っ取られておらず、招待するアカウントがありません。
にもかかわらず、アカウントに追加されてしまったわけです。
時系列の状況
アカウント追加 1:16
気がついたのは、深夜1:30くらい。
メールを確認すると、不審なアカウント追加の連絡。
クライアントが知り合いの広告代理店でも追加したのかな？
なんて思いつつも、こんな深夜はおかしい。
名前もいきなり英語？でメールもhotmail。
これはちょっと、削除して翌日に連絡しようと思ったんですね。
でも私の権限は「社員」だったためできず。
できたのはチャットワークでメッセージで伝えるまで。
そして就寝していたのですが、メールを確認するとその後の動きがわかりました。
翌朝「覚えがない」と返事をもらったものの、時既に遅し。
広告承認 2:57
約１時間半後に、広告承認。
もちろん勝手に出されていたようです。
FBページから除外 3:59
そこから約１時間後に、私がFBページから削除される。
ここでこれは、自動プログラムなどでは？と思いますよね。
もし手動で乗っ取れたのならば、先に私などほかのアカウントを削除するでしょう。
広告なんてそのあとでゆっくりできるのですから。
でも広告を配信してから、関係者を削除しています。
なんらかの条件で動いているのでしょうね。
FBビジネス乗っ取り対策
結論としては、たぶんないような気がします・・・
最初は、管理者のFB個人アカウントが乗っ取られたのでは？
と思ったのですが、問題はなかったそうです。
またスクショを取り損ねたのですが、乗っ取りアカウントのステータスを見ると「追加した人情報」がなかったんです。
私などには追加した人情報が出ていたのですが、空白のままだったんですね。
だからなんらかの脆弱性をついて、条件がそろったときに発動できるのでは？と思ったり。
古河市の場合は、FBページだけだったのかもしれません。
当方のように、FBビジネス、meta広告マネージャー、FBページをがっつりやられました。
ということは、FBビジネスから乗っ取って一気に、自動処理がされたのかも。
推測ばかりで申し訳ないですが、ぜんぜんFBも情報くれないのでわからない。
ただ頻発しているわけではなく、まれに発生しているのでは？と思います。
対策できたとしたら
で、もしこの乗っ取りを阻止できたとしたら、チャンスがなかったわけではありません。
それは、最初のアカウント追加の時点で不審なアカウントを削除することです。
前提として私の権限が「管理者」でないとダメなわけですが、「管理者」であれば削除していました。
で翌日、ごめんなさい！なんて言いながら、正規の追加であれば承認すればいいだけなので。
ここらのルールも取り決めしておくといいでしょうね。
でも「管理者」権限を乱発するのか？
とか、そんな夜中に仕事のメール見ないよ。
なんて現実的な問題もあって、どうなんでしょう。
事後対策としては、公式の案内から「FBページ変更案内」でしょうか。
元のFBページは戻ってこないので、新規に作る。
いやいやスパムアカウントを排除してくれよ！なのですが・・・
乗っ取られた旧FBページにフォローしてくださってる方々は知りません。
なので２次被害にあわないように、告知や連絡をするしかないでしょう。
