フィッシング詐欺サイトに引っかかったものから運営へのご提案

FF14を5月末から始めたのですが、先日フィッシングサイトに引っかかりログインできなくなり、運営にご対応頂いた結果アカウントがもとに戻りました。
経緯としては、FF14のゲーム内チャットでフォーラムに有力な情報があると流れる→そのURLをブラウザで開いてログインID,パスワードを入力して盗まれるというもので、注意喚起しているのと同じです。

今回の経験を踏まえて、フィッシングサイトに引っかからないようにするため、また引っかかったあとについて運営へのご提案がいくつかあります。これは運営の問い合わせ対応の負担を減らすことにも効果があると思います。
※FF14の運営とスクウェア・エニックスアカウントの運営が異なるかもしれませんが、どちらの部署で何をやっているかわからないため、まとめて書いています。また、どこに書いたらいいかもわからないのでここに書きました。すみません。


・ユーザーが「square-enix■■.com.■■」の文字をゲーム内チャットで入力、表示できないようにしてもらえないでしょうか。
引っかかった自分が言うのもなんですが、こういうのは引っかかる人はひっかかります。なので、システム的に引っかかる可能性をできるだけ低くしてほしいです。

・スクウェア・エニックスアカウントのワンタイムパスワードの設定時に登録メールに認証コードを送り、認証コードの入力を必要とするようにシステムを変更できないでしょうか。
ログインID、パスワードを盗まれただけでは登録メールアドレスにはアクセスできません。また、今のシステムでは登録メールアドレスの変更は第三者には極めて困難です。

・運営に身分証明書のコピーを送ってワンタイムパスワード(トークン)の解除をお願いしましたが、申請を受理してもらうのに57時間、解除に更に19時間かかっています。
フィッシングサイト側はアカウントを取ってから15時間近く経って初めてログインしています。もう少し対応が早ければ、少なくともアカウントを利用停止にしていれば二次被害の可能性を低くできたと思います。
二次被害を出す可能性を低くするために、身分証明書のコピーを送って優先的にアカウントを利用停止にするための窓口を作ってもらえないでしょうか。トークン解除等は後でいいです。二次被害を出さないためにまずアカウントを利用停止することが先決だと思います。

・今回私がワンタイムパスワードを設定していなかったため、IDとパスワードを盗まれた後すぐにワンタイムパスワードをフィッシングサイト側で設定されました。このためパスワードの再設定をしようとしてもワンタイムパスワードが必要で何もできず、結局運営に色々お願いしました。現状ワンタイムパスワードの設定は任意になっていますが、強制にするのも一考に値すると思います。

・FF14のランチャーやトップページ(https://jp.finalfantasyxiv.com/lodestone/)に特別なお知らせということで以下の２つがありますが、追記をお願い致します。
****フィッシング詐欺サイトの注意喚起ですが、フィッシング詐欺サイトを踏んでアカウントにログインできなくなった人がどうすれば良いかを載せていただければ助かります。
****特にどの問い合わせフォームを使えば良いのかがわからず、ものすごく悩みました。
****https://jp.finalfantasyxiv.com/lodes...8e81e136465f6a
****不正アクセスとアカウント管理について書かれていますが、ワンタイムパスワードをフィッシングサイト側に設定されたため、パスワードの再設定ができませんでした。
****ワンタイムパスワードをフィッシングサイト側に設定されてログイン、パスワード再設定ができない前提での手順も載せていただければ助かります。
****https://jp.finalfantasyxiv.com/lodes...9110c1e29309be


※フィッシングサイトに引っかかるなんて馬鹿だ間抜けだというご意見は不要です。自分が一番良くわかっています。
※このアカウントは今日で契約が終わるので、何かコメントを頂いても返答できない可能性があります。

ワードフィルターというとても便利な機能がすでにあります　ご活用ください

ワンタイムパスワードは、MicrosoftやGoogleのAuthenticatorで生成してます。

ワンタイムパスワードの重要性が改めて認識出来ました。
任意から強制へ、この部分については私も同じ意見です。

現在ログイン後のシステムメッセージでフィッシング詐欺への注意勧告を出しているので、
それで十分ではないでしょうか？

それすら読まず引っかかってしまうのは、さすがに自業自得だと思いますからね。

注意喚起で終わりではなく、セーフティネットの要望は良いと思います。
それはそれとして1点

Quote:

---

Originally Posted by pfara

・運営に身分証明書のコピーを送ってワンタイムパスワード(トークン)の解除をお願いしましたが、申請を受理してもらうのに57時間、解除に更に19時間かかっています。
フィッシングサイト側はアカウントを取ってから15時間近く経って初めてログインしています。もう少し対応が早ければ、少なくともアカウントを利用停止にしていれば二次被害の可能性を低くできたと思います。
二次被害を出す可能性を低くするために、身分証明書のコピーを送って優先的にアカウントを利用停止にするための窓口を作ってもらえないでしょうか。トークン解除等は後でいいです。二次被害を出さないためにまずアカウントを利用停止することが先決だと思います。

---

自分が詐欺サイトに引っかかった、ワンタイムパスワードを設定していない等の落ち度を棚上げして運営の対応速度を批判するのは如何なものかと。
アカウント利用停止であろうと万が一の誤りは許されないわけで、慎重な確認作業は必要だと思いますよ。


私も過去に携帯紛失からワンタイムパスワードの解除をしてもらいましたが、年末にも関わらず2日程度で対応していただいて感謝しかなかったです。

例え公式からの規制で特定URLがNGワードになったとしても、どうせ別の似たURLや短縮URLを使い出すだろうなのでいたちごっこであんまり意味はない気がします。
現状で引っかかる人はドメインが違かろうかアクセスしてるんですし。
なんで見ず知らずの人が送りつけてきたURLを開いて更にログインまでしてしまうのか、コレガワカラナイ

＞フィッシングサイト側はアカウントを取ってから15時間近く経って初めてログインしています
通常は即時ログインされて被害発生だと思います。特にワンタイムパスワードを利用していれば。
今回はワンタイムパスワードを設定していなかった影響か詐欺サイト側の事情だと思うので、提案されてる手続きを早くしてもおそらく改善にはならないかと。

ーー
この手のシステム側の対策としては、
「ゲームのログイン」「アカウント管理」「サイトの閲覧」に同レベルの認証が要求されている点の改善
くらいですかね。
いっそゲームとサイトでワンタイムパスワードを別にするとか。面倒ですけど

自分にも来たことはありますが、まず調べましたね。tell、URLと……。そしたらフィッシング詐欺誘導だから開いちゃダメって。とりあえずURL送り付けてきたユーザーをブラックしましたが、キリないだろうし やっぱり送られても開かないくらいしか対処出来ないでしょうね。

こういうのって通報しても何かしら効果はあるんでしょうか…

皆さんが通報した結果が、いつものバン報告だと思いますが。

まずは被害にあったことをお見舞い申し上げます。

Quote:

---

Originally Posted by pfara

経緯としては、FF14のゲーム内チャットでフォーラムに有力な情報があると流れる→そのURLをブラウザで開いてログインID,パスワードを入力して盗まれるというもので、注意喚起しているのと同じです。

---

その上で、上記のパターンだとワンタイムパスワードを設定していても、ログインID、パスワードと共にワンタイムパスワードを入力しアカウントが乗っ取られること、そしてパスワードを変更されることは防げなかったかと思います。
ワインタイムパスワードの設定はID、パスワードが漏洩した場合の対策としては有効ですが (特にパスワードを複数サービスで使いまわしてしまっている場合)、今回のようなユーザー自身がフィッシングサイトにログインしようとした場合にはそれを止めらません。

最終的にはスクウェアエニックスは公式サイトの案内を一般ユーザーの TELL 経由で行うことはないので TELL で教えられた URL にログインしてはいけないと言う事をユーザー間で共有していくしかないかと思います。

たくさんのご意見ありがとうございました。
私が提案した内容のうち、あまり効果がないないものが含まれることもわかりました。

多分ここに書いてくださった皆さんはセキュリティ意識が高くて、ワンタイムパスワードを設定しているし、流れてきたURLをブラウザに貼り付けるような危険なことをしない人たちだと思います。
ただ、残念ながらFF14をプレイしている人の中には、皆さんほどセキュリティ意識が高くない人が(私も含めて)一定数います。FF14インストール時にセキュリティテストとかしてませんし。

そして、フィッシングサイトに引っかかってしまうのは、セキュリティ意識が高くない人たちです。
対策はこの人たちに焦点を当てて行う必要があると思います。

今回提案した内容は、そういう人たちが引っかからないようにシステム的にどうにかできないかと考えてのものでした。また、引っかかったあとどうするかでした。

Quote:

---

Originally Posted by pfara

・スクウェア・エニックスアカウントのワンタイムパスワードの設定時に登録メールに認証コードを送り、認証コードの入力を必要とするようにシステムを変更できないでしょうか。
ログインID、パスワードを盗まれただけでは登録メールアドレスにはアクセスできません。また、今のシステムでは登録メールアドレスの変更は第三者には極めて困難です。

---

一点補足すると、ワンタイムパスワードの作成時の
https://www.jp.square-enix.com/accou...enticator.html
「STEP 3各種認証アプリ登録の準備をする」でQRコードを表示させていますが、この画面遷移の前に登録メールアドレスに認証コードを送り、認証コードを入力しないと画面遷移できないようにしたらどうかと考えました。
そうすればフィッシングサイト側は、メールを見れないのでワンタイムパスワードの設定をできません。

ただ、全体のセキュリティを上げるには、ワンタイムパスワード強制が一番確実でしょうか。



それでは、皆様ごきげんよう。

この手の詐欺にひっかかる人がいるのが信じられないw
例えばスマホに抽選で現金プレゼント!みたいな内容のメール送られてきたらURLなんて開かず削除するでしょ。
それと同じで明らかにうさんくさすぎるし、タダでギルもらえるなんてうまい話なんてない。
長年ネットやってる人なら似たような詐欺あるので普通はすぐ気づく。

ワンタイムパスワードはフィッシング耐性がないので設定したから安全ってことにはならないんですよね。 精巧な偽サイト作られると突破されえる。

PCならパスワードマネージャとかに覚えさせた方が安全だったりする。 正規サイトのパスワードを自動入力させておいて、反応しなかったら偽サイトと判断すればいいので。

初期設定でTELは受け取れなくする、とか、
「（フレンド・コミュニティ外からのTELです）」＞表示しますか？
と非表示からのワンクッション置くとかでしょうか。
それでもアクセスする人はいるでしょうが、少しでも被害が抑えられれば…

とにかく災難でしたね。お疲れ様です。

でも最近の文面は「ギルあげる」的な露骨なものじゃなくもっと専門的なことを言ってくるらしいですぞ

まあでも運用が注意喚起しているのにもかかわらずいきなり飛んできたテルに従うのは流石にあまちゃんですな

フレのアカウント乗っ取られて中の人が変わってしまってるキャラクターからのTellだと信用しちゃうかもしれないんで基本URL踏まない方が良いですよ。
そのフレさんとの会話中の文脈で「この動画見てみ！」って感じで貼られたものなら信用してもいいと思うけど。

あとなんかTellそのものを受けたくなければオンラインステータスを「取り込み中」にしとけば一切のTellを拒否できますのでおすすめです。なお取り込み中に制限される行動もありますのでコンテンツ中などは解除した方が良いでしょう。

どれだけ親しくても、URLはDMとかdiscordで送ってって感じだなぁ。
人から送られたURLは絶対に踏まないようにすれば引っかかることはほとんど無くなると思います。

極端な対応かもしれないですが、私がやってるのは「http」等URLについてそうなものをミュートワードに入れています。
そうすればURL系はほぼ封鎖できます。

ちょっとスレの話題からそれるかもしれないけど、
ログイン時に見えるフィッシング詐欺注意のメッセージ、ビギチャとか入っていると目に入らない気がする。

少なくとも12行以上表示できるようにしておかないと、スクロールしないとメッセージ読めないです…

以下自分の環境においてログイン時に出るメッセージ。

[17:01] Welcome to Unicorn!
[17:01]
[17:01] ★★　フィッシング詐欺サイトへ誘導するTellにご注意ください　★★
[17:01] 見知らぬキャラクターから突然ウェブサイトのURLが記載されたTellが届いた場合、フィッシング詐欺サイトの可能性が高いため、内容を慎重にご確認ください。詳細はこちら https://sqex.to/QQm18
[17:01] レストエリアに入った！
[17:01] Beginner - ビギナーチャンネルに参加しました。
[17:01] Beginner - ビギナーチャンネルに参加しました。
現在の参加人数：メンター70人 / ビギナー・リターナー86人
ビギナーがビギナーチャンネルに参加するためには、メンターの皆さんからの招待が必要です。
PCサーチなどを使い、チャットに参加していないビギナーを見つけたら、積極的にチャンネルへ招待してあげてください。
※ビギナーチャンネルにはメンターは100人、ビギナー・リターナーは412人まで参加可能です。
※ビギナーチャンネルでは複数言語が使用される可能性があります。
[17:01] シロガネ第14区

悲しい話ではあるんですが正にこれは「引っかかる人は引っかかる」なんですよね。
そしてもっと悲しい話は「引っかかる人に対してどういう対応をすれば引っかからなくなるのか？」という問題に対して答えが無い。

例えばURLを貼れなくしたとしましょう。私が詐欺の手口を考えるとすれば「架空のイベントを作って検索ワードからひっかける」でしょうか。
「公式イベント〇〇開催決定で告知中！詳しくは「〇〇　××」で検索！」とでもTELLを送って、ワード「〇〇　××」で引っかかるように架空のイベントページのような物を作る。
それで「エントリーはこちらから！」と偽ログイン画面を作って。あたりで引っかかっちゃうでしょうか。多分引っかかる人は出るんだと思います。

多分最終的には「チャットを全て定型文にして自由な発言は不可能にする」くらいしか無いと思うんですよね。つまり実質不可能。

そして「ログイン時にフィッシングへの注意喚起が表示される状況でもそれを見ない人がいる」「公式でも注意喚起を掲載している」という環境でも「見ないので引っかかりました」という人がいる現状告知でなんとかするのも無理。
つまり「引っかかる人を助けよう！」なんてのは無理なんですよね。

犯罪を防ぐ場合に、面倒にしてコストを下げることは、かなり有効です。

例えばチャット欄にHTTPが書かれたりした場合に、フィッシングに注意とか、外部サイトへのアクセスは注意とか、例えばSlack Botのように警告を出すのは可能ではないでしょうか。
それでも踏む人はいますが、減りはするでしょう。
そして、利用者を増やしたいのなら、そういった安全対策のアピールも、それなりに必要なことだと思います。アカウント詐欺にあった人が、復帰してくれるとは限りませんので。

技術的に言うと、偽ログイン画面を作成して、キーワードに引っかかるようにして、そのサイトを一定期間維持するのは、実はかなり面倒ですから、犯罪者はやっぱりリンクを踏ませたいんですよ。