アフィリエイトレピュテーション攻撃 （モーグルとカバとパウダーの日記 - 2007-09-11）

セキュリティ

アフェリエイトブラックリストが出来たら、悪意のあるアフェリエイトを作って価値を下げられるって話

攻撃者側が勝手に「評判を落としたい対象の」アフィリエイトIDを入れたスパムブログを作ったり、そのスパムブログへのトラックバックスパムを打ったりするものです。
つまり、勝手に誰かに、自分のアフィリエイトIDを宣伝するスパムがばらまかれる、というわけ。

図にしてみた

トラックバックのＳＰＦって面白そうだなぁｗ、確かにブラックリストができたらあり得る話だ。

トラックバック元サーバのSPF(Trackback SPF)

トラックバックを打つ元のサーバを、メールのSPFみたいにして指定できるようにする。
つまり、hatena.ne.jpのURLからのトラックバックだったら、hatena.ne.jpのDNSのTXTレコードを引いてきて、どのサーバからトラックバックを打つことになってるか確認して、それ以外からのトラックバックは拒否する。
これでそのブログシステム以外からはトラックバックを打てないから、勝手に動的IPからツール使ってトラックバックを打っても無駄になる。

Google AdSenseはURLを指定して公開になっているそうです。

コメントでkonaさんに教えていただいたのですが、9/7にGoogle AdSenseで、このエントリーで書いた対策一番目の、アフィリエイトIDを書くURL(つまり自サイト)を指定出来るようになっており、理由はやはり望まないサイトに(勝手に)自分のアフィリエイトIDで広告を出されるのを防ぐため、とのことです。

呼ばれたｗので、記事にしちゃいましたｗｗｗｗｗ

TrackbackSPFは面白そうですね。ドメイン単位？URL単位で結構コーディングが面倒かも知れませんね。

実は、Trackback SPF結構いい案じゃね？とか自画自賛だったのに、全く反応無くて悲しいので、まっちゃさん( id:ripjyr )に取り上げてもらえないか、ちょっとping打ってみるテスト。

以下のid:stealthinuさんの記事のmanabuさんとid:stealthinuさんのやりとりを読むとよく分かります。

spoofするのはすごく簡単だと思います。だってHTML見たらIDわかりますもの。
この場合、IDを偽装されたくないのではなくて、どんどん偽装してくれてOK(というかうれしい)だから、問題にならないという感じでは。

のですけど、競争相手を引きずりおろすために、こういうブログスパムやトラックバックスパムを「他人のIDを使って」打つ、というのはアリでしょうね。
共有ブラックリストがちゃんと機能すれば、その個人はもうどこでもアフェリエイトが使えなくなっちゃうわけですから、結構強力な嫌がらせ手段となるのでは…