【緊急】ワンタイムパスワードについて

[KinakoDaifuku]

あれ、まだクローズされていなかった...
皆様、お騒がせしております。当事者です。


一通り書き込み拝見させていただきました。
ご推察の通り、2回ログインを試みました。
入力後、本物の英文フォーラムに飛ばされる仕組みで「？」と思い、もとの偽ページに戻ってリロードしてもログインになっておらず再度入力してしまった間抜けです。


「なぜこんな手口に引っかかるのか」という疑問は十分理解できます。今回当事者になるまではわたしもそちら側の思考の人間でしたので。
飛ばされるサイトが、スクエニアカウントページや知らないサイトであれば開いた時点で十分警戒したでしょう。
そもそもRMT関連のtellと認識していたので、通報するかどうか判断するためにアクセスした次第です。
しかし開いたページは英文フォーラムそのもの。セキュリティソフトも反応せず、URLはhttpsで暗号化されている。
深夜ということもあり判断力が鈍っていたのでしょう、faviconもロドストのメテオマークですっかり騙されてしまいました。


それと、これは嫌味とかではないですが「自分が出来ることを他人もできる」と思われないほうが良いと思います。
あのあと色々調べたり人に聞いたりしましたがURLが異なるものの、同様の手口で長期にわたり多く行われているようです。
なぜだと思いますか？
効果があるからですよ。
わたしのように引っかかる人間がいるから、同じ手口が繰り返されるのです。


繰り返しになりますが「自分が出来ることを他人もできる」と思わないでください。皆さんと違って聡明ではない人間もいるのです。
それをシステム側でなにか対策できないか？確認メールを送ることはできないか？というのが間抜けな私からの、被害を拡大させないために考えた要望です。
なにをしてもいたちごっこになるのはわかりきっていますが、ユーザー数がいま多いからこそ狙われていると思うので、何かしらの策を講じていいただくのが良いかと思います。
検索しないと出てこないようなお知らせではあまり意味がないのです。とくに新規ユーザーには。
それこそ銀行のHPのトップページのように警告文をフォーラムやスクエニアカウントページに表示するとかしていただくだけでも効果はあると思っております。


取り急ぎ現状報告として、運営さんからメールの返信が来たのでこのまま解決に向かうことを願っております。
改めてになりますが、この度はお騒がせして申し訳ありません。
ここは要望を出すところではないのも承知しておりますので、落ち着いた頃に改めて、要望を出させていただこうかなと思います。
まぁ気が向いたら。

[kuma-pandemo]

ご愁傷さまでした...

判断力の低下は、深夜なり、体調不良なり、加齢なりで誰にでも起こりますので、自信と油断と正常性バイアスが大敵です。
ただ、もちろん悪用する人間が悪いのは間違いないのですが。


少し追加で調べましたけど、やはり、シリアル番号の表示は明らかな複数ページにまたがったサイト設計のミスであり、セキュリティホールになってしまっています。
仕方のないことではありますが、ここでその脆弱性が公開されてしまいましたので、シリアル番号は至急暫定対応として、非表示（あるいは数文字マスキング）に直すべきです。
登録済みのシリアル番号表示を至急で必要とする人はそんなにいないように思いますし。

必要に応じて、このスレッドごと、非表示にしていただくこともご検討ください。

[forumaaa]

もしこういう事が本当にあったのであれば信頼できる運営からの発表もして欲しいですね
やはり当事者の一方的な発信、特に冷静でない状況での情報発信で正確でない情報が広まってもあまり良い事にはならないと思うので

フォーラムを日常的に使っているようなユーザーであれば引っかからないとは思いますがゲーム内だけでプレイしているようなユーザーの場合
OTPの重要性に気付かず相手側にホイホイ情報を渡してしまう事も考えられます

面白半分で広めてしまうようなユーザーも現れてしまうかもしれないので迂闊に詳細な手口まで書いたりしないほうがいいのではないかと思いました

なにはともあれ被害が最小限で済んだようで良かったです、おいしいご飯でも食べて元気出しましょう

[Pyonko]

すごく今更ですけど何故にそのURLにアクセスしちゃったんでしょうか
何かしらの理由がそれなりにあるとは思うんですけど

追記：
本当にRMT関連だとわかっていたのであればアクセスなんかせずに通報だけしているはずです
逆に言えばアクセスした時点で何かしらの下心があったとしか・・・

[KinakoDaifuku]

すでに書いておりますが...
あと、メールもパスワード異なるものを設定し、別のOTP入れてるのでメールの乗っ取りもありません。
単純に2回スクエニのワンパスを入力した私の落ち度です。

そもそもRMT関連のtellと認識していたので、通報するかどうか判断するためにアクセスした次第です。

ついでにtellにも様々なパターンがあるようで、今回わたしが受け取ったのは
Quitting FFXIV, 300m giveaway starting in 15mins: URL
という非常にシンプルなものです

補足です
長文だと、まぁざっくり翻訳ですが
あなたをあと15分で始まる私たちの300M抽選プレゼントへご招待します
FFXIVフォーラムのスレッドに1〜30の数字を投稿するか、コメントをして盛り上げてください
みたいなケースもあるようです。
このケースの場合はフォーラムとしっかり記載されているため引っかかるひと多いかもしれません。
わたしの場合はRMT系のサイトだろうと思ったらフォーラムだったので引っかかったくちですが...



以下個人の見解です
URLのパターン（ドメイン）も複数あるようで、ご存知と思いますが専用アドレスを取得するのもコストがかかるはずなんです
それでも続いているということは利益があるということ＝被害者が多いということだと思っております
日本で言うところの半グレ集団ですかね、明らかに組織的に行われている行為だと思われます。

[Citrine_FF14]

これってOTPあんまり関係無く、単純にフィッシング詐欺の問題ですよね。
FF14関係無く、よく分からないURLにはアクセスしない、万一アクセスしても個人情報は入力しない、というのは当たり前のことだと思います。

[User201908090444]

スレ主さんの仰っている仕様に変更するのにもコストはかかるんですよね。
なのでそこまでしてあげる必要あるのか？という議論になるのは仕方ないですね。

[KinakoDaifuku]

これってOTPあんまり関係無く、単純にフィッシング詐欺の問題ですよね。
FF14関係無く、よく分からないURLにはアクセスしない、万一アクセスしても個人情報は入力しない、というのは当たり前のことだと思います。

もし私が犯人ならば、コミュニティファインダーの偽サイトをつくりシャウトでこう宣伝するでしょう
「グンヒルド零式クリア目的！クリア者多数、初見未予習でも大丈夫です！残り＠1枠　詳細はこちらまで→短縮URL」
根本の問題はフィッシング詐欺ですが、FF14のシステムの穴を（というかFF14自体がフィッシング詐欺に）利用されているんです。
ワンパス関係ないとは言い切れないと思いませんか？

[Loraine]

「OTPの通常解除にもメール認証を入れる」くらいであれば特段重いコストでもない割に効果があるようには思います。

ただ、「ログインページを精査せずOTPを入れてしまう人」への抜本的な対応コストとなるとどう見積もっても青天井なので、「バカ言ってんじゃねーよ」となるのは致し方なしですね。

[SmokyQuartz]

もし私が犯人ならば、コミュニティファインダーの偽サイトをつくりシャウトでこう宣伝するでしょう
「グンヒルド零式クリア目的！クリア者多数、初見未予習でも大丈夫です！残り＠1枠　詳細はこちらまで→短縮URL」
根本の問題はフィッシング詐欺ですが、FF14のシステムの穴を利用されているんです。
ワンパス関係ないとは言い切れないと思いませんか？

クリ目なのに初見未予習okな辺りに怪しさを感じてリンクに飛ぼうとは思えませんが…

そのサイトを開いただけではワンパスは抜かれません。
サイトを開いた時点でウイルスがPCに入ってしまうタイプだとそれに引っかかるだけでアウトですが、
開いたページでID・パスワード・ワンパスを入力しない限りそれらすべてを渡すことはありません。

つまりワンパスの脆弱性は関係ないですね。あくまで今回の件に関しては、ですが。


*追記*

ワンパス解除(通常にしろ強制にしろ)はどれだけ手間をかけてもいいとは思うので、
メール認証とか入れてもいいとは思いますよ。
ただ、ワンパス解除の前に登録アドレスを変更されたら無意味ですが。