フィッシング詐欺サイトに引っかかったものから運営へのご提案

[robert]

まずは被害にあったことをお見舞い申し上げます。

経緯としては、FF14のゲーム内チャットでフォーラムに有力な情報があると流れる→そのURLをブラウザで開いてログインID,パスワードを入力して盗まれるというもので、注意喚起しているのと同じです。

その上で、上記のパターンだとワンタイムパスワードを設定していても、ログインID、パスワードと共にワンタイムパスワードを入力しアカウントが乗っ取られること、そしてパスワードを変更されることは防げなかったかと思います。
ワインタイムパスワードの設定はID、パスワードが漏洩した場合の対策としては有効ですが (特にパスワードを複数サービスで使いまわしてしまっている場合)、今回のようなユーザー自身がフィッシングサイトにログインしようとした場合にはそれを止めらません。

最終的にはスクウェアエニックスは公式サイトの案内を一般ユーザーの TELL 経由で行うことはないので TELL で教えられた URL にログインしてはいけないと言う事をユーザー間で共有していくしかないかと思います。

[pfara]

たくさんのご意見ありがとうございました。
私が提案した内容のうち、あまり効果がないないものが含まれることもわかりました。

多分ここに書いてくださった皆さんはセキュリティ意識が高くて、ワンタイムパスワードを設定しているし、流れてきたURLをブラウザに貼り付けるような危険なことをしない人たちだと思います。
ただ、残念ながらFF14をプレイしている人の中には、皆さんほどセキュリティ意識が高くない人が(私も含めて)一定数います。FF14インストール時にセキュリティテストとかしてませんし。

そして、フィッシングサイトに引っかかってしまうのは、セキュリティ意識が高くない人たちです。
対策はこの人たちに焦点を当てて行う必要があると思います。

今回提案した内容は、そういう人たちが引っかからないようにシステム的にどうにかできないかと考えてのものでした。また、引っかかったあとどうするかでした。

・スクウェア・エニックスアカウントのワンタイムパスワードの設定時に登録メールに認証コードを送り、認証コードの入力を必要とするようにシステムを変更できないでしょうか。
ログインID、パスワードを盗まれただけでは登録メールアドレスにはアクセスできません。また、今のシステムでは登録メールアドレスの変更は第三者には極めて困難です。

一点補足すると、ワンタイムパスワードの作成時の
https://www.jp.square-enix.com/accou...enticator.html
「STEP 3各種認証アプリ登録の準備をする」でQRコードを表示させていますが、この画面遷移の前に登録メールアドレスに認証コードを送り、認証コードを入力しないと画面遷移できないようにしたらどうかと考えました。
そうすればフィッシングサイト側は、メールを見れないのでワンタイムパスワードの設定をできません。

ただ、全体のセキュリティを上げるには、ワンタイムパスワード強制が一番確実でしょうか。



それでは、皆様ごきげんよう。

[azukisann]

この手の詐欺にひっかかる人がいるのが信じられないw
例えばスマホに抽選で現金プレゼント!みたいな内容のメール送られてきたらURLなんて開かず削除するでしょ。
それと同じで明らかにうさんくさすぎるし、タダでギルもらえるなんてうまい話なんてない。
長年ネットやってる人なら似たような詐欺あるので普通はすぐ気づく。

[Yuumi_E]

過去に同様に引っかかってる人ってワンタイムパスワードも何の疑いもなく入れてるからワンタイムパスワード強制したところで、結局はユーザーの自衛がすべてだと思います。

知り合いだったとしても、何の脈絡もなくURL送られてきたら調べる位の気持ちは今の時代必須だと思いますよ
FF14に限らず。

セキュリティ向上は何かあればいいなというのは間違いないけど、中々難しい問題ですよね。

[ff14usr01]

ワンタイムパスワードはフィッシング耐性がないので設定したから安全ってことにはならないんですよね。 精巧な偽サイト作られると突破されえる。

PCならパスワードマネージャとかに覚えさせた方が安全だったりする。 正規サイトのパスワードを自動入力させておいて、反応しなかったら偽サイトと判断すればいいので。

[peneco]

初期設定でTELは受け取れなくする、とか、
「（フレンド・コミュニティ外からのTELです）」＞表示しますか？
と非表示からのワンクッション置くとかでしょうか。
それでもアクセスする人はいるでしょうが、少しでも被害が抑えられれば…

とにかく災難でしたね。お疲れ様です。

[Pyonko]

でも最近の文面は「ギルあげる」的な露骨なものじゃなくもっと専門的なことを言ってくるらしいですぞ

まあでも運用が注意喚起しているのにもかかわらずいきなり飛んできたテルに従うのは流石にあまちゃんですな

[Eleven_Beef]

フレのアカウント乗っ取られて中の人が変わってしまってるキャラクターからのTellだと信用しちゃうかもしれないんで基本URL踏まない方が良いですよ。
そのフレさんとの会話中の文脈で「この動画見てみ！」って感じで貼られたものなら信用してもいいと思うけど。

あとなんかTellそのものを受けたくなければオンラインステータスを「取り込み中」にしとけば一切のTellを拒否できますのでおすすめです。なお取り込み中に制限される行動もありますのでコンテンツ中などは解除した方が良いでしょう。

[tukihami]

どれだけ親しくても、URLはDMとかdiscordで送ってって感じだなぁ。
人から送られたURLは絶対に踏まないようにすれば引っかかることはほとんど無くなると思います。

極端な対応かもしれないですが、私がやってるのは「http」等URLについてそうなものをミュートワードに入れています。
そうすればURL系はほぼ封鎖できます。

[KuroGoldFish]

ちょっとスレの話題からそれるかもしれないけど、
ログイン時に見えるフィッシング詐欺注意のメッセージ、ビギチャとか入っていると目に入らない気がする。

少なくとも12行以上表示できるようにしておかないと、スクロールしないとメッセージ読めないです…

以下自分の環境においてログイン時に出るメッセージ。

[17:01] Welcome to Unicorn!
[17:01]
[17:01] ★★　フィッシング詐欺サイトへ誘導するTellにご注意ください　★★
[17:01] 見知らぬキャラクターから突然ウェブサイトのURLが記載されたTellが届いた場合、フィッシング詐欺サイトの可能性が高いため、内容を慎重にご確認ください。詳細はこちら https://sqex.to/QQm18
[17:01] レストエリアに入った！
[17:01] Beginner - ビギナーチャンネルに参加しました。
[17:01] Beginner - ビギナーチャンネルに参加しました。
現在の参加人数：メンター70人 / ビギナー・リターナー86人
ビギナーがビギナーチャンネルに参加するためには、メンターの皆さんからの招待が必要です。
PCサーチなどを使い、チャットに参加していないビギナーを見つけたら、積極的にチャンネルへ招待してあげてください。
※ビギナーチャンネルにはメンターは100人、ビギナー・リターナーは412人まで参加可能です。
※ビギナーチャンネルでは複数言語が使用される可能性があります。
[17:01] シロガネ第14区