PCGamer 記事: 危険なストーキング MOD

[mirapurisuki]

「キャラクターIDの一部」を参照する外部ツールについて

やっと...というのが正直な感想ですが小さな1歩でも良かったです
おそらくEU圏の有志の方々によるGDPRに基づく申し立て等の功績が大きいんだろうなぁ...と思うと日本語フォーラムで声をあげ続けていた身として、個人的には少し複雑ですが。
現実問題として今後の配布停止や削除をしても、既に不正取得されてしまったツールやユーザーの情報の全てを消すことは不可能です
ただし既に出回ったツールに関しては、悪用されている7.0以降に実装されたブラックリスト機能の仕様を変更してしまうことで、もう使えなくなるという状態にはできるはずです
表面的な今後のツール配布や削除だけ求めても不十分です
ブラックリスト機能の仕様変更とセキュリティ強化をしない限り、ユーザーが安心してプレイできる環境にはなりえません
開発運営の方々には引き続きそちらの対応もして下さるよう声をあげ続けたいと思います

[Nanananami773]

検討じゃなくて、「法的措置をとります」って言ったほうがいい気がするんですが……
何より問題のツールは派生して違うものが出回ってるって話もありますし、ダークウェブみたいなアングラのところにツール置かれたらどうしようもないと思うんですけど……

ご自身で仰られている通りどうしようもない可能性もあるから「検討」という表現にしたとは考えられないのでしょうか？
実際のところスクエニ内部でどのような話がされているか分かりませんが、措置をとるのか検討するのかの言葉選びに関しては何故そうしたのか想像する材料まで貴方は辿り着けているはずです。
第一報としての物足りなさを感じるのは理解できますが、とると宣言してとらなかった（とれなかった）場合のリスク等も考慮したのでしょう。
こういった点が不足していると意見を送りながら、続報を待ちましょう。

[krovis]

根本的な原因(通信上IDが見えているという仕様)をどうにかするという話はまだ出ていないのね(´- ω -｀)

[Nagi-Dantes]

あとツールの取り下げと削除申請、そして今回は法的措置を考えたとしても肝心のBLを改修しないとまた今後、同じようにデータ抜かれたりしますし、せめて『BLの改修』と『DBの暗号化』をしたほうがいいと思います……

[risette]

そもそもアカウントIDは現在も送信されているわけで、パケットの分析等をすればツールを使わずともIDが把握できるわけです。
ツール自体の配布に対して法的処置をちらつかせても、ストーキング行為を止めさせられません。
ツールをダウンロード済みの方には影響ないですしね。

というか声明を出さなくても2週間前にGithubからは削除されていますし、
今回の声明は「新しいツールを作って配布せずに使い、開発者個人がデータを蓄積し公開する」というような行為には無意味です。

黄金のレガシー以降、なぜかクライアント側にアカウントIDを送信するようになった仕様に問題があり、
ブラックリスト改修のおかげでストーキング行為が捗るようになってしまったという事は、黄金のレガシーのリリース直後あたりからずっと指摘されていました。
にもかかわらず今日に至るまで開発・運営陣は何のアクションもしませんでした。

ブラックリスト機能はクライアント側じゃなくてサーバー側で処理するようにしてほしいです。
それが根本的改善です。

（サーバー側で処理するとコストがかかるので、コストの安いクライアント処理にしたんでしょうか）

[Yakiomu]

この問題に対して運営が把握し対応の話を出してくれました。
しかし大元の作成者から独立して新たなデータベースを作ったりと好き勝手やっている者もいるようなので、現状のBLシステムを見直さないと隙は残ったままなのでまだ心配ではあります。
頑張れスクエニ！

[robert]

あとツールの取り下げと削除申請、そして今回は法的措置を考えたとしても肝心のBLを改修しないとまた今後、同じようにデータ抜かれたりしますし、せめて『BLの改修』と『DBの暗号化』をしたほうがいいと思います……

本件、今まででてきている情報の範囲では DB の暗号化は関係ないかと。
暗号は必ず復号する（元のデータに戻す処理）がセットなので、MOD にクライアントのデータ（元のデータに戻した後）を収集されているであろう本件の場合、新たに強固な暗号を採用した所で結局収集されてしまうかと。

[mirapurisuki]

そもそもアカウントIDは現在も送信されているわけで、パケットの分析等をすればツールを使わずともIDが把握できるわけです。
ツール自体の配布に対して法的処置をちらつかせても、ストーキング行為を止めさせられません。
ツールをダウンロード済みの方には影響ないですしね。

というか声明を出さなくても2週間前にGithubからは削除されていますし、
今回の声明は「新しいツールを作って配布せずに使い、開発者個人がデータを蓄積し公開する」というような行為には無意味です。

黄金のレガシー以降、なぜかクライアント側にアカウントIDを送信するようになった仕様に問題があり、
ブラックリスト改修のおかげでストーキング行為が捗るようになってしまったという事は、黄金のリガシーのリリース直後あたりからずっと指摘されていました。
にもかかわらず今日に至るまで開発・運営陣は何のアクションもしませんでした。

ブラックリスト機能はクライアント側じゃなくてサーバー側で処理するようにしてほしいです。
それが根本的改善です。

（サーバー側で処理するとコストがかかるので、コストの安いクライアント処理にしたんでしょうか）

本当にこのご意見につきますよね
吉田P/Dのコメントに、コミュニティの皆さんのご不安の声も含め状況を理解しており～とありましたが
本当にフォーラムに出ている意見を読んで状況を理解しておられるなら、まっ先にやるべきは悪用されているブラックリスト機能の仕様変更であるとお分かりいただけるはずなんですが・・・
法的措置なんて仮にいますぐしたところでかなりの時間がかかりますし、その間に技術的な対策をしなければすでにツールをDLした人による被害は拡大する一方かと
むしろ、こんなツールは悪いとわかってて悪用する人が使うものでしょうから、対策されるまえにやってしまおうみたいな駆け込み使用が増えないか心配です
被害の内容が内容だけに、優先順位を見失うのは致命的だと思います

[Nagi-Dantes]

あといっっっちばん気になるところなんですが、すでにDBから抜かれた人への対応ってどうなるんでしょうか？
データ抜かれて公表されました、法的措置取りますってしても公表された人はそのまんまですし、不特定多数公表されたデータをだれかが複製して別の場所で公開ってのもあり得るんですが……

[mirapurisuki]

あといっっっちばん気になるところなんですが、すでにDBから抜かれた人への対応ってどうなるんでしょうか？
データ抜かれて公表されました、法的措置取りますってしても公表された人はそのまんまですし、不特定多数公表されたデータをだれかが複製して別の場所で公開ってのもあり得るんですが……

いわゆるデジタルタトゥーというものですので、完全に消し去ることはできないでしょうね