【Facebook】自分のアカウントで「スパム投稿」が始まった!投稿の全削除とアクセス権限のパージ

デジタル汚染を即座に浄化する。勝手な投稿・シェアを止め、汚されたタイムラインを一括復旧する技術

自分のタイムラインに見覚えのないレイバンのサングラス広告や、卑猥な動画、怪しい投資の勧誘リンクが投稿され始めたら、それはアカウントの操作権限が第三者の手に渡った「レッドアラート」です。この現象の厄介な点は、必ずしもパスワードが盗まれたわけではなく、過去に連携した『アプリ』や『診断ツール』に与えた権限( Access Token )が悪用されているケースがあることです。
投稿を一つずつ消している間にも新しいスパムが流され続ける、いわゆる「いたちごっこ」を終わらせるには、投稿の消去と同時に、操作の源泉となっているアクセストークンを物理的に無効化( Revoke )する必要があります。本記事では、スパム投稿の技術的背景と、被害を最小限に抑えるためのクリーンアッププロトコルを詳説します。

—

1. 技術仕様:なぜ勝手に「投稿」ができるのか?

攻撃者があなたの代わりに投稿を行う手法には、大きく分けて2つの論理的ルートがあります。

アクセストークン(OAuth)の悪用

・権限の委譲:かつて流行した「あなたの似ている芸能人診断」などのアプリを許可した際、そのアプリには publish_actions(投稿権限)に類するスコープが付与されることがあります。攻撃者はこのアプリのサーバーを乗っ取る、あるいは悪質なアプリを最初から作成することで、あなたのパスワードを知らなくても、API経由で投稿を「発行( Push )」できます。
・持続性(Persistence):このトークンはパスワード変更だけでは無効化されない( Revocation Failure )設定になっていることがあり、アプリ連携を直接断たない限り、汚染が止まらない原因となります。

直接的なセッションハイジャック

・ブラウザの乗っ取り:PCがマルウェアに感染している場合、あなたがログインしているブラウザのセッションをそのまま利用して、バックグラウンドで投稿を送信するスクリプトが動いている可能性があります。

—

2. 実践:操作の源泉を絶つ「アプリ連携の完全消去」

まずは新しい投稿をこれ以上させないために、外部からの接続口を物理的に封鎖します。

手順①:「アプリとウェブサイト」の管理

1. [設定] > [アクティビティ] > [アプリとウェブサイト] を開きます。
2. 現在アクティブな連携リストを確認し、心当たりのないアプリ、あるいは信頼できない診断系ツールをすべて選択します。
3. [削除] を実行します。この際、「これらのアプリがFacebookに投稿した可能性のあるすべての投稿を削除する」というチェックボックスがある場合は、必ず オン にしてください。これにより、過去のスパムも同時に一掃できる可能性があります。

—

3. 応用:アクティビティログを用いた「一括浄化」技術

アプリ連携を解除しても残ってしまったスパム投稿を、エンジニアリング的な効率で削除する方法です。

投稿のバルク削除プロトコル

1. プロフィール画面の「・・・」メニューから [アクティビティログ] を開きます。
2. [アクティビティを管理] > [自分の投稿] を選択します。
3. 画面上の「フィルター」機能を使い、スパムが始まった「日付」を指定します。
4. 表示された投稿の [すべて選択] にチェックを入れ、[ゴミ箱] に移動させます。

ゴミ箱に移動した投稿は30日間保持されますが、即座に完全に消し去りたい場合は「ゴミ箱」セクションからさらに「完全に削除」を選択してください。これにより、Facebookのデータベースから論理的にパージされます。

—

4. 深掘り:「タグ付け」を悪用した拡散の遮断

自分の投稿を消しても、他人(乗っ取られた友達など)があなたをタグ付けすることで、あなたのタイムラインにスパムが表示され続けることがあります。

・タイムライン確認機能の有効化:[設定] > [プロフィールとタグ付け] > 「プロフィールに表示される前に、自分がタグ付けされた投稿を確認する」 をオンにします。これにより、今後のスパム拡散に加担させられる( Social Engineering Relay )リスクをゼロにできます。
・既存のタグの削除:アクティビティログの「タグ付けされたアクティビティ」から、不審なタグ付け投稿を一括で非表示、またはタグ解除することが可能です。

—

5. エンジニアの知恵:『最小権限の原則』を徹底する

ITエンジニアが新しいWebサービスをFacebook連携させる際に行っている防衛術です。

・連携時のスコープ確認:ログインボタンを押した後に表示される「許可する項目」を必ず確認してください。単なるログイン(名前とメールアドレス)だけでなく、「タイムラインへの投稿」や「友達リストへのアクセス」を求めてくるアプリは、その機能が本来不要であれば連携を拒否すべきです。
・使い捨てのブラウザ環境:不審なサイトを閲覧した後にスパムが始まった場合は、ブラウザの Service Workers に悪質なスクリプトが登録されている可能性があります。ブラウザの設定から「すべてのサイトデータ」を一度クリアし、キャッシュされた汚染スクリプトを根絶してください。

まとめ:スパム投稿被害からの復旧マトリクス

自分のアカウントからスパムが流れるのは、本人にとって精神的な苦痛であるだけでなく、繋がっている友達を危険にさらす「加害者」になってしまうリスクを孕んでいます。しかし、焦ってアカウントを消す必要はありません。アクセストークンという『外部からの糸』を切り、アクティビティログという『記録の掃除機』で一掃すれば、あなたのアカウントは再びクリーンな状態に戻ります。復旧後は、安易な診断アプリの利用を控え、定期的に「アプリとウェブサイト」の棚卸しを行うことを習慣にしましょう。