迷惑bot事件簿

ゲーム世界を崩壊に追い込むチートbot　1日2億件の不正ログインの実態（2/5 ページ）

botによる不正ログイン試行とリアルマネートレード（RMT）

　一般ユーザーのゲームアカウントへの不正ログインも頻繁に試みられてる。アカマイ・テクノロジーズ（アカマイ）は、2017年11月～19年3月末までの17カ月間に観測された、リスト型攻撃botによる不正ログイン試行件数の分析結果をレポートにまとめた。この期間、全業種への不正ログイン試行約550億件のうち、約22％にあたる約120億件がゲーム業界への攻撃で占められていた。ゲームが不正ログインで利益を得ようとする犯罪者にとって、いかに魅力的な標的に映っているかが想像できる。その背景にあるのがリアルマネートレード（RMT）だ。

　RMTとは、ゲーム内の金品と、現実世界の金品との交換を指す。分かりやすい例では、ゲーム内通貨やコインを、日本円で売買する行為だ。RMTは大部分のゲームの利用規約で禁止されている。不正を行うRMT業者は、ヘビーユーザー特有の「あらゆる手段を使ってゲームを有利に進めたい」という心理を利用して、金銭を稼ぐためにチートや不正ログインを行うbotを操り、ゲーム内のアイテムやコインを入手する試みを大量に繰り返している。

　ゲームの世界では、アバターの装備や武器の強化、一時的なステータス強化アイテムなど、ゲームのヘビーユーザーが頻繁に消費するアイテムが多数あり、これらのRMTによる売買が不正を行う犯罪者にとって高い利益を生み出す理由の1つになっている。

　ひとたび不正ログインに成功すると、キャラクターが身に着けているレアアイテムや、プレイヤーのキャラクターに個性的な容姿をあたえる“スキン”などの価値の高い所持物や、コインを身ぐるみ剥ぎ取り、RMTで取引して現金化を試みる。

　犯罪者は、不正ログインに成功したアカウント情報を闇市場で売るだけでも利益を得ることができる。ダークウェブや、ゲーマーがよく使う「Discord」などのチャットアプリ上で、流出アカウントは1件あたりわずか140円程度で取引されていることもある。

　この情報を買ったRMT業者は、ゲームアカウントにひも付いたクレジットカード情報を用いて、高価なアイテムを購入したりする。不正行為が発覚するとアカウントがBANされるため、業者は多数の流出アカウント情報を入手し、常にストックしているという。

　下記のグラフは、2018年11月～19年3月にアカマイが観測した、ゲーム業界を含むメディア＆エンターテイメント業界を対象とする、botによる不正ログイン試行の1日当たりの件数の推移を示している。いくつかのピークでは、ゲーム業界への不正ログインが大部分を占め、最大のピークでは1日2億件を超える不正ログイン（Credential Abuse／Credential Stuffing）がbotにより試みられていたことが分かる。

　オンラインゲームのプレイヤー側で気を付けたいのはやはりパスワードの管理だ。ゲームアカウントのパスワードは、銀行やペイメントサービスで用いるパスワードなどに比べ、第三者から推測が容易な文字列を使いがちだ。しかし、犯罪者の利益に直結する不正ログインの試行はさらに進化しつつある。

　ゲーム業界への攻撃に限らないが、最近の不正ログイン試行には、流出した使いまわしIDとパスワードの組み合わせを用いるパスワードリスト型攻撃だけでなく「パスワードスプレー攻撃」もよく用いられている。

迷惑bot事件簿

さまざまなタスクを自動化でき、しかも人間より早く処理できるbot。企業にとって良性のbotが活躍する一方、チケットを買い占めるbot、アカウントを不正に乗っ取るbot、アンケートフォームを“荒らす”botなど悪性のbotの被害も相次いでいる。社会や企業、利用者にさまざまな影響を及ぼすbotによる、決して笑い事では済まない迷惑行為の実態を、業界別の事例と対策で解説する。

この連載の記事をもっと見る

この記事の著者

関連記事

• 

  チケット購入アクセス「9割がbot」→“殲滅”へ　イープラスの激闘を振り返る

• 

  “転売ヤー”がbot悪用、ECサイトで限定品買い占め　「アクセスの8割がbot」への対策は？

• 

  クレカ不正利用で暗躍するbotの脅威　セキュリティコード特定は“朝飯前”

• 

  急増する不正ログイン、対策のカギは「正しく怖がる」こと