――オンラインゲームをプレイしていたらマイクロソフトアカウントが盗まれました…
オンラインゲームで詐欺被害に遭ったのは鈴木義弘さん（仮名）、正人さんの親子。
舞台となったのは世界中で人気となっている「マインクラフト」です。
中学生の正人さんがプレイ中にマイクロソフトアカウントが奪い取られる事態が発生します。
その経緯から見えてくるのは、犯人の狡猾な手法と手口。そして、オンラインゲームという多くの子供たちも楽しめる場で犯罪者たちが、巧妙な罠を仕掛けているという事実。
エンジニアはいかに対策を考えるべきなのか？
事件の経緯とセキュリティ専門家の見解をわかりやすく解説します。
マイクラ詐欺はどのようにして起こったのか？
「マインクラフト（以下、マイクラ）」は家庭用ゲーム機やモバイルデバイスなど多種多様なプラットフォームで楽しめるオンラインゲームで、世界中で人気を博しています。１人で遊ぶだけでなく、専用のサーバーを介せば、オンライン上のプレイヤーとチームを組んだり、対戦ができるマルチプレイが魅力で、子供から大人まで世界中で楽しまれています。
今回の事件は、このマルチプレイの仕組みを悪用したもの。被害者の鈴木正人さん（仮名・14歳）は最大級の人気を誇る「Hypixel（ハイピクセル）」（注1）というサーバー内で、見知らぬプレイヤーからゲーム内のダンジョン攻略に誘われました。その際、ボイスチャットを行うため外部アプリであるDiscord（注2）サーバーへ誘導されたことが、巧妙な罠の始まりでした。
誘導先のサーバーでは、チャットに参加するためのアカウント認証と称して、マインクラフト（マイクロソフト）のアカウント情報の入力を求められます。さらに、正人さんのアカウントが子供用として制限されていたため、父親である鈴木義弘さん（仮名）の元に認証コードが届きました。仕事中だった義弘さんは、正人さんからの「認証が来るから送ってほしい」という頼みを信じ、深く内容を確認せずにコードを転送してしまいました。
その結果、アカウントは即座に乗っ取られ、パスワードも変更されてしまい、一切のアクセスができなくなりました。ゲーム内での高額な課金アイテムや積み上げたステータスが奪われただけでなく、運営会社であるマイクロソフトと1ヶ月以上にわたる交渉を行っても、最終的にアカウントを取り戻すことはできませんでした…。
注1：マインクラフトJava Editionで最大規模を誇るマルチプレイヤーサーバー
注2：無料のボイス・ビデオ・テキスト通信アプリ
巧みな手口で子供を騙す
その巧妙な手法を詳しく解説！
さて、正人さんがターゲットにされた場所は、最大級のサーバーであるHypixel内の人気ゲーム「スカイブロック」でした。「スカイブロック」はマイクラの中で楽しめるゲームのひとつ。正人さんはメンバーの募集掲示板で、あるプレイヤーに注目します。
「ゲーム内で非常に高いレベル25というステータスを表示している人がいたんです。自分としては、自分を助けてくれる頼もしい味方になると思ったんです」（正人さん）
正人さんは、この時点で「レベルの高い人」「一緒に遊べば有利に進める」というある種の信頼感と安心感が醸成されてしまったようです。
相手（犯人）は「ボイスチャットで連携しよう」と正人さんに持ちかけます。そのため、外部アプリのDiscordへ正人さんを誘い込みます。
「案内されたサーバーには1万人以上の参加者が表示されていました。それを見て安心していました。活発にチャットが行われているように見えましたし、おかしなことはないだろう…と。ただ、後から考えれば、これらはbot（自動プログラム）によってつくられた偽のアカウントであることがわかりました。サーバー内が賑わっているように見せかけることで“これだけ人がいるなら安全なサーバー”と思い込ませる手口だったと思います」（正人さん）
ここから、技術的な仕組みを悪用した具体的な乗っ取りのプロセスが開始されます。
ステップ1 閲覧制限により偽の認証へ
サーバー内のチャンネルを見るためには「マインクラフトのアカウントと紐づける必要がある」と偽の指示が表示されます。
ステップ2 偽の入力画面への誘導
「Link account」をクリックすると、認証用botを装ったプログラムがマイクラのユーザー名やマイクロソフトアカウントのパスワード情報の入力を求めてきます。
ステップ3 保護者に本人確認コードの送付
正人さんのアカウントは子供用だったため、マイクロソフト側から父親である義弘さんに本人確認コードを送信されます。当時の様子を義弘さんは次のように振り返ります。
「仕事中に本人確認コードが送られてきました。息子からも“認証が必要でコードが届くから”と連絡が入りました。過去にもこのようなやり取りはいくつかありましたので、私も“いつものやり取りだな…”くらいに考えていました。今までもおかしなことはありませんでしたので。仕事中だったこともあり、内容を詳しく確認せずにコードを送り返してしまったのです」（義弘さん）
義弘さんがコードを渡した瞬間、犯人はシステムにアクセスしてパスワードを即座に変更、正人さんはその瞬間からアカウントへアクセスすることができなくなりました。
「アカウントを停止したい…が、できない！」
停止・復旧が極めて難しいワケ
正人さんはアカウントにアクセスできなり、義弘さんに経緯を話します。詐欺の遭遇したことに気づいた義弘さんは、事後対応の行動を起こすことにします。
まず、乗っ取られた正人さんのマイクロソフトアカウントをなんとかしなければなりません。義弘さんはこの窮状をマイクロソフト側にも伝えるべくコンタクトをとります。
「アカウントを乗っ取られたままだとマズいと思いました。そこで、マイクロソフトの窓口に対し、何度もアカウント停止や復旧について何度も交渉をしてみましたが、ダメでした。一時は米国本社の担当部署へエスカレーションをかけるなど、あらゆる手を尽くして事情を説明しましたのですが…」（義弘さん）
詐欺被害に遭ったのにアカウントを停止できないのはなぜか？ これはマイクロソフト側にも事情があります。システム上は“正当な認証コードによってパスワードが変更された”という記録しか残っておらず、どちらが真のアカウント所有者か証明する決定的な証拠がないため、最後は水掛け論になってしまうからです。
そこから義弘さん、正人さん親子は別のアカウントを使って独自調査を開始し、約1ヶ月間、ゲーム内の掲示板を監視し続けた結果、今なお同様の詐欺が毎日平然と行われている実態を目の当たりにしたのです。
“アカウントが使えなくなるだけ…”では済まされない
怖いのは二次被害の拡大による実生活への影響
今回、正人さんの被害は以下の通りです。
- ・購入済みのマイクラのライセンス
- ・長年積み上げてきたステータスや課金アイテム（総額約1万円相当）
これだけを見ると被害は小さく見えるかもしれません。しかし、これはあくまで初期の段階で目に見える形で顕在化している被害だけです。最も恐ろしいのは、実生活への波及です。マイクロソフトアカウントなどのIDは、メール（Outlook）や住所、電話番号、さらにはクレジットカードといった決済情報とも密接に紐づいています。先ほど述べたように、マイクロソフトの運営側からは正当な手順でパスワードが変更されたようにしか見えず、真の所有者であることを証明するのは極めて困難です。気づかないところで、オンラインゲームの詐欺被害が実生活に大きな影響を与える二次被害が拡大する恐れもあります。
アカウントが乗っ取られた後、被害を最小限に食い止め、二次被害を防ぐためには、迅速な対応が不可欠になります。例えば、アカウントにクレジットカード情報や決済システムが紐づいている場合は、クレジットカード会社へ連絡し、カードの利用停止や再発行が必要になるでしょう。メールや他のサービス（SNSや銀行系アプリなど）と紐づいているならば、被害に遭ったアカウントと同じパスワードのままだと、そちらも乗っ取られるリスクが増しますので、即座に変更すべきでしょう。
「デジタル上の証明書が盗まれたわけですから、正直、安心してＰＣの前に向かえる状況ではありません。また、調べていくと、一般的にこうしたオンラインゲームのアカウントは希少なアイテムなどを保有していると非常に価値が高くなるそうです。アカウント自体がアンダーグラウンドのマーケットで転売される対象となるため、さらに不安が高まります」（義弘さん）
例えば、アカウントにオンラインゲームのライセンスが紐づいているとします。特に高額なアイテムなどが付与されている上級者のアカウントであればどうでしょうか？ 世界中のプレイヤーの垂涎(すいぜん)の的でしょう。この市場原理とプレイヤー心理を逆手にとり、犯人はアカウントを奪い取り、売りさばくことを考えるわけです。今回の詐欺事件は、子供も標的した極めて悪質なもの。逆にいえば、オンラインゲームという大人も子供も無作為に交流している場だからこそ考えられた巧妙な詐欺手法ともいえるのです。
最新技術の話ではない
詐欺師たちの武器は“巧みな人間心理の操作”
今回、正人さんが被害に遭ったマイクラ上での詐欺事件ですが、犯人たちはなぜ、こんな手の込んだ手法で近づいてくるのでしょうか？ そこには、古今東西変わらぬ、人間心理を巧みについた詐欺師たちの手口が透けて見えてきます。その特徴をまとめてみました。
❶被害者の警戒心を解く
高いステータス（例：ゲームの中でレベル25など）を提示することで、被害者に“この人はすごい人だ”“頼りになる上級者だ”という信頼感を抱かせます。これにより、その後の不自然な要求（例えば、外部アプリへの誘導など）に対しても、「上級者の言うことだから…」と疑いを持たせにくくする効果があります。
❷ “楽をして得をしたい”という心理を突く
強いプレイヤーと一緒に遊ぶことは、被害者にとって“自分が何もしなくても難しいダンジョンをクリアできる”という大きなメリットになります。この“得をしたい”という誘惑をエサにすることで、被害者が自ら進んで詐欺師の用意したチームやサーバーに参加するように仕向けます。
❸コミュニケーションのきっかけづくり
オンラインゲーム内の「ダンジョン攻略メンバー募集掲示板」などは、詐欺師にとって見知らぬ者同士が接触する絶好の場所といえます。そこで圧倒的な強さを誇示することで、「この人と一緒に遊びたい」と思わせ、ボイスチャットへの誘いやDiscordへの誘導をスムーズに進めるためのフックとして利用しています。
この事件の怖さは、単なるハッキングなどの技術的な話ではありません。“強いプレイヤーへの憧れ”や“ゲームをうまくクリアしたい”というゲームを楽しむユーザー誰もが抱く心理を巧みに突いた犯罪行為という点こそが怖いのです。犯人はそのあたりの心理と行動を計算ずくで利用しており、これこそが現代のソーシャル・エンジニアリングの脅威です。私たちは、オンラインゲームという媒介を経ることで、子供たちのすぐそばに魔の手が迫っていることを改めて認識すべきでしょう。
■専門家のコメント
吉岡 克成 (よしおか・かつなり)
横浜国立大学 大学院環境情報研究院 教授
今回の詐欺事件は、事前に周到な準備を行い、実行されています。多くの人間が同時に接続する大規模サーバーで効率的にアカウントを収集しようという犯人側の意図は明確です。Discordサーバー内に1万人もの参加者がいるように見せかけた上で、botを使って効率的にアカウントを盗んでいます。相手が子供であることも想定し、認証コードを送信させる専用フォームも用意しているあたりは、場当たり的な犯行ではないと思います。
このようにアカウントを盗まれた場合の被害をどう考えるのかが重要です。マイクロソフトアカウントの場合、そこに個人情報やクレジットカード情報が紐づいていると、金銭的な被害にもつながります。そうなると生活にも支障が生じるし、オンラインゲームだからといって済まされる問題ではなくなるでしょう。
さらに、アカウントを転売されてしまう恐れもあります。ゲームのライセンスが紐づけられていれば、価値も上がりますし、それを目的に転売されることもあります。また、個人情報やクレジットカード情報ごと転売されることもあり、そうなると別の犯罪に巻き込まれる可能性もあります。
このような犯罪行為から身を守る対策として重要なのは「アカウント情報を入力する状況になった時点で一旦立ち止まって考えること」です。オンラインゲームに夢中になる子供だからこそ、このことを家族で話し合ってもらいたいと思います。
また、今回の詐欺事件はソーシャル・エンジニアリングの脅威を浮き彫りにしたものといえます。エンジニアの方々は、MFA（多要素認証）を万能と過信せず、巧妙な手口によりユーザーが自ら「鍵」を渡してしまうシナリオも想定しておく必要があります。例えば、コード送信時に利用目的を明示したり、心理的隙を突くボット群への検知が必要であることを再認識させられます。さらに、一度奪われたアカウントの復旧も大きな課題であり、今後は多層的なリカバリ設計の構築が求められるのではないでしょうか。
