トークンを利用しての不正アクセス

[ricebaaler]

一時停止機能を外部からキック可能な時点で、トークンが大丈夫だからってその先で守られてる情報が大丈夫なんて詭弁もいいところでしょ。
こんなフォーラムじゃなくて会社として何らかの発表すべきじゃないですか？
スクエニアカウントにはさまざまな個人情報が詰まってるわけですし。

[Fenydia]

これ、やばくない？

上の方も言ってるけど、早めに公に発表しないとマズいのでは？

最近、御社で情報流出とかあったとおもうけど、、、


てか、これってセキュリティトークンの管理サーバーが攻撃受けて一時的に利用不可になったんでしょ？
絶対、他にもなんかやらかしてるってw
普通に考えてさ、ハッカーがそこだけ攻撃するメリットないじゃん
トークンを一時使用不能にしてIDやら個人情報を抜き取ろうとした、もしくは抜き取ったんじゃ？
会社の体裁とか考えてるようじゃ駄目だとおもう。

早く公に公表して該当してる人達に注意喚起すべき

[Keii]

セキュリティトークンの性質上

・ワンタイムパスワードは前回ログインから一定回数分しか受け付けないはず
・何回かログインパスワードを間違うと、5分くらい強制ロックがかかる（Capsトラップとかで）
　（強制ロック発動中は正しいパスワードでも失敗扱いになる）

これの組み合わせの仕様知らずに何度も何度もパスワード生成して
ログイン試みると、入れなくなっちゃうんじゃないかな。

[JING]

＞Marthtomoさん

個人情報は全て私本人の個人情報で登録してました。偽ってはいませんね

不正アクセスについては、ログアウトした覚えのない競売宅配前でログインされ、メインキャラクターのギルが0になっていました
ログイン障害かなにかでギル欄が反映されてないだけ？とも考えましたが
他の全キャラクターも確認すると他のキャラクターの所持金も0ギル。宅配NPCに話しかけると全キャラクターでギルを郵送している形跡が一瞬だけ写ったので
ああ、これは不正アクセスだなと思い、サポートに依頼しました

不正アクセスはキャラクターロールバックの完了メールが来ないので問い合わせたところ、現在は不正アクセスに遭われたかどうかの調査をしている段階のそうです
というかまだそこまでしか終わってないですね・・・せめてありがとうキャンペーンが終了する前までに完了させて欲しいものですが

[NorthernSnow]

被害がJINGさんだけ？みたいだから、アカウントIDとパスはどこか別の所で盗まれてて、そこへワンタイムパス機能を止めたから、既に知られてたIDとパスを使って進入されたとか？

[Samson]

不正アクセスはキャラクターロールバックの完了メールが来ないので問い合わせたところ、現在は不正アクセスに遭われたかどうかの調査をしている段階のそうです
というかまだそこまでしか終わってないですね・・・せめてありがとうキャンペーンが終了する前までに完了させて欲しいものですが

リアフレの不正アクセス被害があった時、ＧＭ経由によるチャットサポートでアカウントの一時凍結と本人が自覚してる最終ログイン日まで所持アカウントのＦＦ１１キャラデータロールバックの依頼を代行した経験筋から言わせてもらいます。
鯖移動までされていて元鯖復帰込みで全工程の作業完了まで２週間ほどかかったとリアフレから聞いた覚えがあります。
それと鯖移動時ポストの中に入ってるは消えるルールなのでポストの中身の復旧はできないといわれたそうです。

今回の件はトークンのセキュリティを突破する前にＪＩＮＧさんのパスワードはすでに抜かれていた可能性が高いと思います。
被害数が多くないならトークンのセキュリティを突破した組織が数回に分けてハッカー内ネットワークに情報を横流しして、
その情報を知ったハッカーがすでに知っていたＪＩＮＧさんのアカウント情報を使って不正アクセスに成功したという可能性が個人的予想ですが、
現時点ではユーザー側の対策としてはパスワードの変更くらいしか対策がありません。

ＦＦ１１は国内でもＣＥＲＯ・Ｂ（１２歳以上）のゲームなのでネットセキュリティをあまり知らない中高生だってプレイしてると思います。
大人でもＦＦ１からのＦＦファンなら４０歳以上可能性がありその年代だとネットセキュリティ認識が甘い人がいてもおかしくありません。
最低現役ユーザーの不正アクセス被害防止のためにＦＦ１１トップ画面後にプレイおすとメンテ前を除いて
不正アクセスに対策としてのパスワード変更を推奨するメッセージがありますが
もっと簡潔して定期的にユーザーがパスワードを変更してくれるような文面に再構成する必要があるではないかと思います。
理想は　ビューアーからプレイ押した後の画面
ファイナルファンジー１１は多人数参加型のゲームです（長いので省略）画面右下に同意すると同意しないの
ところを、
あなたのアカウントは一定期間以上のパスワード変更を行っておりません。
個人のセキュリティの向上の為パスワードの変更をお勧めします。
画面右下に選択欄　そのままプレイする・パスワード変更する（ＩＥでアカウント管理ページに直リンク付）
この画面期間設定も管理ページで指定できるように３０～１８０日（初期は３０日）
再表示期間７~３０日（初期は７日）に設定できるようにする。
多少面倒でも利用者のセキュリティ再認識のためにもこれくらい強制させても問題ないのと思いますよ。

[JING]

帰宅したら不正アクセスのロールバック作業完了メールが届いてました
これでやっとログインできる・・・長かった・・・

[Mecruul]

掲題の件では、皆様にご心配をおかけし申し訳ございません。
先日お知らせいたしました弊社サーバーへの攻撃による影響についての続報をご報告申し上げます。
こちらについて本日お知らせが掲載されました。

弊社サーバーへの攻撃および対処について(5/18)

発生経緯や影響範囲など、詳細は上記URLよりお知らせをご覧いただきますようお願い申し上げます。

登録情報などが影響を受ける攻撃ではなく、すでに対策を施しておりますので、どうかご安心ください。

JINGさん、ご迷惑をおかけしました事を重ねてお詫び申し上げます。
また、ご利用のアカウントを調査するにあたってご協力いただき、誠にありがとうございました。

[JING]

自分の他にも18人停止させられた人が居たんですね。該当してる人は気付いてないだけなのかな？
何はともあれ少ない人数で食い止められてよかったと思います
放置されていたらどんどん被害が増えていってた可能性もありますからね

[Atchy]

他の方も書かれていますが、要するに
１．トークンの一時停止によりトークンがなくてもIDとパスワードを知っていればログイン可能な状態になっていた。
２．今回の障害でIDとパスワードが漏洩したわけではないが、過去に既にIDとパスワードを抜き取られていた方はトークン一時停止でログイン可能な状態になり、不正アクセスが出来てしまっていた。
ということでしょうか？
トークンがあるから安心ではなくて、IDとパスワードの管理も厳格に行う必要があるということですね。
ウイルス対策の甘いパソコンやネットカフェとかでログインするとかが危険そうですね。
スクエニアカウントへのスマホ経由でのログインも危険？

ちなみに、FFXI用のトークンは世界的にもシェアの高いバスコ製ですが、シェアが高ければ狙われやすいのも世の常ですし、脆弱性に関しては絶対ということはありませんので、再発がないという保証はないでしょう。この機会にさらなる防衛策を考えないといけないですね。
いっそ指紋認証付きトークンとかどうなんでしょうかね？
どうせ人に譲れないアカウントなんだし。安心が買えるならお金は少しくらいなら出しますよ？
キャラ転売RMTの防止にもいいんじゃないかな？