Xで「ブロック診断」サイトが拡散中

このサイトを開くと、まずXのIDとパスワードの入力欄が現れる。ログイン情報を入れて「ブロックをチェックする」ボタンを押すと「診断完了」の画面に切り替わり、自分をブロックしている人数として数字が表示される仕組みだ。

表示される人数は2〜46人の範囲を出ないランダムな数字で、実際のブロック状況とは無関係だ。存在しないアカウント名とでたらめなパスワードを入力しても、診断結果は普通に表示される。

入力したIDとパスワードがそのまま外部へ渡るとなれば、被害はブロック確認だけにとどまらない。同じ認証情報でXに不正ログインされれば、フォロワーへのなりすまし投稿やDMを使った二次被害に発展しかねない。ブロック人数という小さな好奇心の代償にしては大きすぎる。

そもそも公式にブロック人数は分からない

このサイトに人が集まる理由は単純だ。X公式には、自分をブロックしている相手を一覧で確認する機能も、人数を表示する機能もない。特定の相手のプロフィールを見に行けばブロックされているかどうかは分かるが、まとめて確認する手段は用意されていない。

この「知りたいのに知る方法がない」という欲求を突いた詐欺サイトは今回が初めてではない。同種の「ブロックユーザー確認ツール」をかたるフィッシングは2025年から断続的に報告されており、直近では2026年4月にも、Xのタイムライン上に自分がブロックされていた人数を報告する体の投稿とリンクが流れる手口が確認されていた。当時の手口では、偽のログイン画面を通過すると、同じ文面の投稿下書きが自動で開く仕掛けも見つかっている。今回のサイトも、体裁こそ違えど同じ弱点を突く手口を踏襲している。ブロック一覧を外部サービスが肩代わりする仕組みは、X公式には存在しない。

ソースコードが示す暗号化なしの実態

入力されたIDとパスワードの送信先は、Cloudflareの無料ホスティングサービス上に用意されたアドレス1カ所だけだった。しかも暗号化しないまま、そのアドレスへそのまま送る仕組みだ。

送信先のアドレスには、Xの旧称「Twitter」をもじった文字列が使われていた。診断結果の「人数」はでたらめな乱数である一方、入力したIDとパスワードだけは平文のまま外部へ渡る仕組みだ。

Cloudflareの無料サービスはSSL証明書やCDNが標準で付き、身元確認も不要で短時間に立ち上げられる。手軽さゆえに、フィッシングサイトの入れ物として悪用される例がたびたび報告されている環境でもある。今回のサイトも、その手軽さに乗じた作りだったといえる。

X上でも警戒広がる、トレンド入りした「ブロック確認サイト」

このサイトが厄介なのは、拡散の導線まで組み込まれている点だ。診断結果の画面には「Xで結果をシェアする」というボタンが用意されており、押すと診断結果を装う文面が入った投稿画面が開く。体験談のような文面があらかじめ用意されているため、そのまま投稿すればタイムラインに流れる。ブロックされていた人数を強調する体で友人やフォロワーの好奇心を刺激し、次の入力者を呼び込む構造になっている。

この手口が広がったことで、X上では「Xブロック確認サイトが偽物でフィッシング詐欺と判明」「Xブロック人数確認サイトがフィッシング詐欺と判明、ユーザー間で注意喚起広がる」といったトレンドが立ち、被害を防ごうとする注意喚起の投稿が相次いでいる。好奇心につけ込む導線と、警戒を呼びかける投稿が同じタイムライン上でせめぎ合っている格好だ。

パスワードを入力したら今すぐ変更を

このサイトのようにXのIDとパスワードを求める外部サービスに、公式のブロック確認機能は存在しない。診断結果は乱数で、送信された認証情報だけが本物という組み合わせが、この手口の危うさだ。

すでに情報を入力してしまった場合は、Xのパスワードを速やかに変更し、心当たりのないログイン履歴やアプリ連携がないか設定画面で確認するべきだ。同じパスワードを他のサービスでも使い回している場合は、そちらも変更しておきたい。二段階認証を設定していなければ、この機会に有効にしておく方法もある。

リンクをすでに拡散してしまった場合は、投稿の削除とあわせて、フォロワーへの注意喚起も添えておきたい。該当のリンクや投稿は、X上の「報告」機能から通報しておくと被害の拡大を抑えられる。

「ブロックした人が分かる」という誘い文句そのものを、まず疑ってかかる必要がある。IDとパスワードの入力を求めてくる時点で、公式のXとは別物だと考えたほうがいい。アドレスバーのドメインが x.com でなければ、その時点で公式サービスではないと判断してよい。好奇心を刺激する診断コンテンツほど、入力欄に個人情報を打ち込む前に一呼吸置く習慣が欠かせない。

[文/構成 by MEDIA DOGS編集部]