【緊急】ワンタイムパスワードについて

[Nacht_M]

こんばんは。
実際に行ったわけではないので確証はありませんが、
サポートセンターの文章を読む限り「解除用のURLがメールに届く」と書いているのは「強制解除」の場合ですね。
https://support.jp.square-enix.com/f...90&id=450&la=0


通常解除の方は「解除用のURLがメールに届く」と特には書いていません。
https://support.jp.square-enix.com/f...76&id=450&la=0

[Matthaus]

通常解除の方は「解除用のURLがメールに届く」と特には書いていません。
https://support.jp.square-enix.com/f...76&id=450&la=0

自分も電池が切れる前に一度セキュリティトークンを交換したとき、
特に解除前にメールは届かなかったですね。
届いたのは解除したというものだけです。

恐らく乗っ取った方が通常の手順で解除したのでしょう。
なので解除後のメールだけ送られてきたのでしょうね。

[Loraine]

「強制解除をしていない」場合が考えられます。

1. フィッシングサイトでID/PASS/OTPを入力させる
2. ゲーム起動ランチャーではなく、アカウント管理システムにログインする
3. 通常のOTP解除手続きを行う（解除完了のメールが登録アドレスに送信される）
4. アカウント情報を書き換える

の手順で乗っ取りが実行された場合、仰られている状況にはなりそうです。

[Loraine]

めっちゃ被りました、すみません。

[Saikopa]

[Nacht_M]

これって、ログインしたあとに、ワンタイムパスワードを解除するときに、ワンタイムパスワードをもう一度入力させなければいけないのではないでしょうか。

検索すれば実際の手順を紹介した個人サイトが出てきますね。
現在も同じ手順かはわかりませんが、そこに書いてある手順には


・「アカウント管理システム」にログインする際
・「アカウント管理システム」にログイン後、ソフトウェアトークンを解除する際


計二回OTPを入力するみたいですね。(一度ログインに使用したOTPは再使用できない)
投稿者が何度OTPを入力されたのかは不明ですが、「解除用のURL」がメール通知されていないにOTPが解除されているのなら通常手順で解除された可能性があります。
もし強制解除の場合はメールアカウントも既にハッキングされてる可能性がありますね...

[Saikopa]

メールアカウントも同じパスワードにしてるとかじゃない？乗っ取られたとか？
アプリ版の解除方法はよくわかんないけど、通常解除ではないと思う

[kuma-pandemo]

検索すれば実際の手順を紹介した個人サイトが出てきますね。
現在も同じ手順かはわかりませんが、そこに書いてある手順には


・「アカウント管理システム」にログインする際
・「アカウント管理システム」にログイン後、ソフトウェアトークンを解除する際


計二回OTPを入力するみたいですね。(一度ログインに使用したOTPは再使用できない)
投稿者が何度OTPを入力されたのかは不明ですが、「解除用のURL」がメール通知されていないにOTPが解除されているのなら通常手順で解除された可能性があります。
もし強制解除の場合はメールアカウントも既にハッキングされてる可能性がありますね...

なるほど、私も出先だったので調べずに書いてしまったので、申し訳なかったです。
指摘ありがとうございます、前の投稿は消しておきます。

ただ、そうすると、どうしてそんなに何度もタイミングよくすり抜けられるんですかね。

完全全自動で、
１．Fakeサイトに入れさせた情報を、そのままアカウント画面にスルーし、ログインする。
　すぐにワンタイムパスワード変更画面に移動して待機する
２．Fakeサイトでうまくサインインできなかったとみせかけて、もう一度ワンタイムパスワードだけ入力させる
とかなんでしょうかね？

[Nacht_M]

ただ、そうすると、どうしてそんなに何度もタイミングよくすり抜けられるんですかね。

完全全自動で、
１．Fakeサイトに入れさせた情報を、そのままアカウント画面にスルーし、ログインする。
　すぐにワンタイムパスワード変更画面に移動して待機する
２．Fakeサイトでうまくサインインできなかったとみせかけて、もう一度ワンタイムパスワードだけ入力させる
とかなんでしょうかね？

実際はもっと手の込んだページ遷移をしている可能性はありますが、2の方法なら簡単にOTPを二回分入手できますね。
投稿者は「tellでURLが飛んできた」って仰ってますし、その時相手はPCの前に居てたと思われます。
詳しい方法は伏せますが、それならOTPの期限が切れる前に入力することも「出来なくはない」とは思います。


ただSaikopaさんが提示してくれた画像を見るとOTP以外に「シリアル番号」の入力も必要になってくるので...

[kuma-pandemo]

確かにPCで、解除までの手順をやってみましたが、シリアルを入力する画面が出ました。
ただし、衝撃的なことに、シリアル番号は「そのひとつ前のトークンご利用状況画面に書いてある」ので、トークンを操作しなくてもわかるんですよ。
この掲示板、画面を貼るやりかたがよくわからないので、貼りませんが...

このシリアルを必要とするケースは、「セキュリティトークンどれ使ってたっけ」というケースなんでしょうが、メールアドレスと同じように生年月日を入力しなければ、トークンご利用状況画面にいけないようにするしかないですよね。

なお、メールアドレス変更もやってみようとしましたが、生年月日を入力しなければ表示されないです。
さらに変更前のメールアドレスに変更用URLが送付されるので、こちらは相当強固でした。

ということで、ワンタイムパスワードを二回タイミングよくゲットできると、乗っ取ることはできそうです。