最近(2008年7月6日現在)になってまたアカウントハッキング(以下アカハック)されるという事態が多発しています。今までは自身のセキュリティ意識が低いということで済まされてきたものですが、だんだんとそういった防衛手段を講じていても被害を受けたという人が出てきています。
100％防衛する手段はもうないのかもしれません。

あなたはまだたかがゲームだからと軽く見てはいませんか？

アカハックされるとまずログインパスワードを変えられてしまいます。
一度変えられてしまうと、もうあなたができる事は何もありません。

アカハックが実行されるのは、サポート電話窓口の営業時間外である金曜夜～日曜が多いため、月曜日まであなたの電話は宅配ピザを注文することぐらいしかできないのです。
もし、あなたがアカウントをふたつ持っているならＧＭを呼んで本人確認が取れた後、アカウントを凍結してもらうこともできるでしょう。
しかしあなたのプレイしているゲームのＧＭはすぐやって来ますか？答えはノーです。

そのあいだにあなたのキャラクター達は勝手に動き回り、大切なアイテムやトラを倒して稼いだギルは無くなってしまうでしょう。

(一部アメリカンジョーク的な文章表現があったことをお詫び致します)

---

ここでアカハックの経緯をご存じない方のために、その歴史をまとめてみようと思います。

2007年

ファイナルファンタジーXI(以下FFXI)関係のブログにコメント・トラックバックという形でリンクがつく。そのリンクをクリックして飛ぶとウィルスをダウンロードさせられるというものだった。投稿者・コメント内容ともに現存する他者の名前をかたり、何も知らなければ思わずクリックしてしまうという手の込みようだった。のちにこのことはブロガーのあいだで広まり、コメント・トラックバックを承認制・URL欄を削除・不審なリンク先を開かない、など注意喚起が徹底されたため次第に事態は収束していった。

2008年3月初

テンプレート編集が自由に行えるため人気のあったFC2ブログのテンプレートが改竄される。FC2側のブログラムに穴があったため(このことはFC2側も認めている)アカハックに利用された。手口はテンプレートにウィルスを仕込んだHTMLページを＜iframe＞タグでリンクさせるというもの。＜iframe＞タグはその表示領域を０ピクセルに設定できるので、ブログ管理人も含め多数の人が気づかなかった。ある日ブログを開くと「ウィルス警告がでるんだけど」とコメントがついたことで発覚。人気ブログは軒並みFC2ということもあって被害者多数。しかしFC2はこのことを発表せず、後日該当箇所を勝手に削除するという証拠隠滅にも似た行動をとったためFC2ブロガーの大多数は閉鎖または他ブログに移転した。現在は問題箇所を修正したためFC2で改竄されたという報告はない。

また、情報が少しずつ広まってくると、発見されるのを少しでも遅らせるために＜iframe＞のかわりに＜script＞を使用したり、リンクアドレスの部分をURLエンコード文字列を使用して偽装したり、Real Playerの穴をついた罠と併用したりといった手口も散見された。

2008年3月下旬

プレイオンライン(以下POL)に初めて注意喚起、「アカウントハッキングにご注意ください」というお知らせが掲載される。

2008年4月下旬

モンスター検索の人気サイト「Vana'diel Monsters」(以下ヴァナモン)のHTMLの一部が改竄される。改竄されて追加された内容はどうやらウィルスではなく、クライアントのIP情報とOS情報を送信するアクセス解析のようなものだったと言われている。セキュリティーの低いPCを狙うためだったと思われるが詳細は謎。後日、管理人により該当箇所の削除・トップページ変更・jp以外からのアクセスを遮断、などの措置がとられた。

2008年5月下旬

Flash Playerに脆弱性が発見される。Adobeはすぐさま最新版にアップグレードするよう注意を促した。

同時にPOLにも「Flash Playerの脆弱性にご注意ください」という情報が掲載される。

2008年6月初旬

XREAの無料HPスペースを利用したHPに表示義務のある広告が改竄され、広告にFlash Playerの脆弱性をついた罠が仕掛けられる。Flash Playerのバージョンが古い場合、閲覧しただけでウィルスに感染する。これにしかけられていたウィルスはFFXIだけでなくリネージュ・ラグナロクオンライン・World of Warcraft・mixi・MSN MessengerなどのログインIDやパスワードも盗み取るものであることが発覚。これはXREAのサーバーを利用していなくても、広告だけ利用している無料HPスペースも被害を受けたため、Flash Playerのアップグレードを怠っているPCの数に比例して被害も拡大した。6月中旬にXREA運営によって対処が行われたため、現在はこの問題は発生していないが、Flash Playerのアップグレードは忘れずに行って頂きたい。

POLのバージョンアップにて、パスワードをやや安全に保存する機能のセキュリティ設定が追加。さらにパスワード入力にソフトウェアキーボードが実装される。

2008年6月下旬

POLに「ゲームデータ復元完了までに要する時間について」というお知らせが掲載される。初旬～中旬にかけておきたFlash Playerの脆弱性をついた罠による被害がかなりのものであることが予想される。

2008年7月上旬

POLやFFXIに内部仕様変更などの細かいバージョンアップやメンテナンスがたびたび行われる。告知はされていないが、なにか対策を施しているのか・・・。

POLに「ＧＭコール受付状況について」が掲載される。
アカハック被害が毎日報告されるようになる。

POLに「インフォメーションセンターおよびGMコール混雑状況のお知らせ」が掲載される。

2008年7月中旬

POLに「プレイオンラインへの一部接続元からの接続制限について」というお知らせが掲載される。以下内容を抜粋。

ファイナルファンタジーXIにおけるセキュリティ向上対策の一環として、一部接続元からのプレイオンラインへのログイン制限を行います。この制限については当面維持されることとし、解除時期については以後の状況により検討を行います。

やっとスクウェア・エニックス様が重い腰を上げられました。
2008年10月31日現在、まだ解除はされていません。

2008年7月下旬

POLに「不正アクセス専用チャットサポート」開設。待ち時間短縮、即対応と評判良し。しかし相変わらず営業時間内の受付のみ。

2008年8月上旬

XREAのサーバを利用しているFFXI関係のサイトを狙った、サイト改竄報告があがる。改竄されたサイトは判明しているだけで「吟遊詩人テンプレ」、「忍者スレテンプレ」、「黒魔道士協会」、「FF11・マップガイド」の４つ。いづれのサイトも開くとウィルスを置いてあるサーバにリダイレクトされ、アカハックを引き起こすファイル「KernaeghDry.dll」をダウンロードさせられる。XREA公式の見解によるとサイトの改竄はスクリプト経由で行われており、その原因はPHPスクリプトのバージョンが古いためらしい。他にも最新でないXOOPSを運用しているサイトなどでも同様の改竄が行われる可能性があるとしている。先に記した４つのサイトでは既に対策がとられているが、他のXREAサーバを利用したサイトを閲覧する場合は十分注意するとともに、サイト管理者はそれ以上の注意・対策が必要である。

2008年10月

被害報告数は激減。
この安定期はいつまでつづくのか、はてさて。

---

最も被害が大きかった問題についての記録

最近(2008年7月6日現在)起きているアカハックは時間的にみてFlash Playerの脆弱性をついた罠にかかった被害者であると思われますが、被害報告数が尋常でなく、もしかしたら違う新種の手口という可能性も否めません。そうなるとウイルスらしきものの本体・感染経路がいまだ不明で、いまのところこれという対策がないのが実状です。

2008年10月31日【追記】：感染源はFlash広告。Flash Playerのアップグレードをすることで現在は対策可能です。

唯一その被害者からアカハック前の兆候は以下の通りであったと報告があがっています。

• Windows Updateを行おうとするとフリーズする。
• POLを立ち上げるとエラーが発生して強制終了する。
• Windowsのシャットダウンにかなりの時間がかかるようになる。

この３点の兆候が見られた方は、かなりの確率であなたのPCになにかが潜んでいて今後アカハックを受ける可能性が高いと思われます。

2008/07/14【追記】- その何かの正体。

ウィルスの正体、というかIDとパスワードを送信しているであろうファイルが特定されました。

wuauserv.dll（Windows Updateで使われるダイナミックリンクライブラリ）が
wzcsvbxm.dll（正規のシステムには存在しないファイル）に書き換えられているそうです。

wzcsvbxm.dllはsvchost.exeを使い、POLのプロセスを乗っ取ってメモリからIDとパスワードを盗み取ります。つまりパスワードを保存してても、してなくても関係ないようです。

確認方法を下記に記します。

「スタート」→「ファイル名を指定して実行」を選び、regedit と入力してOKを押す。
するとレジストリエディタが起動するので、下記の階層を追って調べる。

HKEY_LOCAL_MACHINE¥SYSTEM¥ControlSetxxx（xxxは数字）¥Services¥wuauserv¥Parameters と
HKEY_LOCAL_MACHINE¥SYSTEM¥CurrentControlSet¥Services¥wuauserv¥Parameters
の中のServiceDll→REG_EXPAND_SZ（種類）のデータを確認。

C:¥WINDOWS¥system32¥wuauserv.dllなら今回の件に感染していません。そのままレジストリエディタを閉じてください。
C:¥WINDOWS¥system32¥wzcsvbxm.dllなど上記以外のファイルの場合、すでに感染してしまっている可能性が高いです。

wzcsvbxm.dllの中身

http://204■13■69■12/fg/post.asp（一部『.』を『■』に変えてあります）や
http://ｇｏｏｇｌｅｓｙｄｉｔｉｏｎ．ｃｏｍ/４ｆｈ７ｃ/post.asp（一部全角文字に変えてあります）

という文字列が存在。これ以外にも亜種があるようです。おそらくこれが送信先。
サーバーはアメリカですが、ホストを逆引きしていくともちろんかの国に到着。

対策

クリーンインストール。

カス○ルスキーの最新のパターンファイルでは、このdllの一部がトロイとしてすでに検出されるようです。ですが亜種が多く存在するようですので、まだまだ不完全です。

さらに現状では上記のdllを生成する本体が判明していないため、wzcsvbxm.dllを本来のwuausev.dllに書き換えても、すぐに再度wzcsvbxm.dllに戻される可能性があります。なのでアンチウイルスソフトで検出・隔離・削除したとしても安心できません。やはり下記に記したとおりクリーンインストールが絶対おすすめです。

さらにこのウィルスらしきものの本体は、まだ検知ソフトで検出されません。
上記症状が見られたため、あわててウィルス検知をして検出されたウィルスを削除し、POLパスワードを変更してソフトウェアキーボードで入力するようにしたが、それでも数時間後アカハックされたという報告もあります。
【追記】現在は多数のアンチウィルスソフトで検出はされますが、完全に駆除はできません。たとえウィルスを駆除したとしてもアカハックを受ける可能性があります。

ソフトウェアキーボードで入力しても被害を受けるということは、通信自体を監視されている(？)ということでしょうか。

今のところ上記３点の症状から見ても、ウィルスでよくある手口のsvchost.exeというプロセスに偽装しているという可能性が高いです。
しかし、このsvchost.exeはクリーンなシステムでも複数個起動しているのが普通です。タスクマネージャを開いてプロセスを見てもらえばわかりますが、どれがどれかよくわからないという人がほとんどでしょう。

では上の３点の症状がみられた方はどうすればいいのか。

PS2を持っている人はそっちでパスワードを変更。もしくは上記症状がみられない２台目のPCにPOLだけインストールしてパスワード変更。
症状がみられるPCでパスワードを変更しても、それを読み取られる可能性がありますので避けた方が良いでしょう。

そのどちらも出来ない場合、スクウェア・エニックス インフォメーションセンターに連絡を取りパスワードの変更手続きを申請しましょう。

それからPCをクリーンインストール。めんどうですけど現状これしか安全と思える方法がありません。
またはバックアップをとっている人は絶対安全と思える地点へリカバリでもいいです。リカバリの方がクリーンインストールより比較的時間も手間も短くて済みますので楽です。これをきっかけに、必要なドライバや他アプリを入れたクリーンインストール直後にバックアップ地点を作っておくといいかもしれませんね。
※Windowsに備わっているシステムの復元で治る可能性もありますが、システムの復元は他のところで不具合を引き起こす元になることもあるためおすすめしません。

Windows UpdateやFlash Playerのアップグレードを実行することもお忘れなく。

＞＞参考　クリーンインストール（IT用語辞典）
＞＞参考　ディスクをフォーマットしてWindows 2000/XP をセットアップするには（Windows XP.FAQ）

つづく...

---

つづいた。

もしもアカウントハックを受けたら...？

最近は被害者多数のため相当な混雑が予想されます。
初期の迅速な行動が明暗をわけます。

ゲーム中に「他の端末からログインされたためプレイオンラインから切断されました」といわれた

リアルタイムでアカハックされている可能性があります。すぐに再ログインし、POLでログインパスワードの変更をおこなうべきです。相手もログインを繰り返してきてログイン合戦になりますが、最悪しばらく続けて相手があきらめるのを待つほかありません。

ログイン時に「パスワードが違います」といわれた

パスワードの間違いでなければ、アカハックの可能性があります。アカウントがふたつあればそこから、メール・電話などでリアルタイムで連絡できる知人がいるならばそちらからＧＭコールを行ってもらいアカウント凍結の申請をしましょう。

ログインしたらアイテムやギルがなくなっていた

不正アクセスの可能性が高いです。スクウェア・エニックス インフォメーションセンターか不正アクセス専用チャットサポート窓口で連絡を取り、不正アクセスの被害を受けたことを報告しましょう。

スクウェア・エニックス インフォメーションセンター
TEL:0570-003-399(PHSからは03-5333-1860)
(PHSからは046-203-1100)新番号
月曜～金曜　11:00～19:00(土・日・祝・指定休日はお休み)

不正アクセス専用チャットサポート
ウェブチャットで問い合わせ
https://secure.playonline.com/support/index.html
月曜～金曜　11:00～19:00(土・日・祝・指定休日はお休み)

あわせて、被害を受ける以前の状態にゲームデータを復元してもらうことも出来ます。しかし、どの時点へもどすかは指定できません。競売に出品中のアイテムや、宅配で配送中のアイテムは復元することが出来ません。宅配でアイテムを回して倉庫代わりに使用していると２度と戻ってこなくなるので注意しましょう。

新規パスワードを発行してもらいログインすると、違うサーバーに移動させられていた

課金方式をクレジットカードにしていませんでしたか？クレジットカード課金にしていると勝手に使われリアルマネーにまで被害がおよびます。ウェブマネー課金に変更するなどの対策を事前にとっておきましょう。

インフォメーションセンターやＧＭコールで本人確認のためいくつかの質問をされた

インフォメーションセンターでは本人確認のため、氏名・住所・郵便番号・生年月日・POLID・レジストコードなどを。ＧＭコールではアカウントに存在する全キャラクターの名前・種族・所属国・ジョブ・レベル・現在いるエリア・ログインログアウトした時間などをランダムで質問されます。正しく答えられるように準備しておきましょう。

しかしこれでは第三者によるいたずら報告を防ぐためとはいえ、リアルタイムでメッセージをやりとりできないフレンドからＧＭコールをしてあげることができません。
（注 次項参照

フレンドが目の前でハックされて、動き回っています。ＧＭコールをしたところ「本人以外からのＧＭコールはお受けできません」と言われてしまいました

本人はハックされてるんだから、ＧＭコールできるわけがないだろ！と思うのももっともです。しかし昨今の被害者の増加を受け、現在ではある程度の裁量で動いてくれるＧＭもいるので、あきらめずＧＭコールをしましょう。

ＧＭコールをしてから10時間経ちましたが、ＧＭから連絡がきません。ログアウトしてもいいものでしょうか。いたずらと思われませんか？

ログアウトしてもかまいません。昨今の対応状況を考えればいたずらと思われることはないでしょう。それより次回ＧＭコールの件名に「緊急：～」と入れてアピールしてみるのもいいかもしれません。

普段はPS2でのみプレイしていますが、アカハックされました

PCでリンクシェルコミュニティ（以下LSC）を使用していませんでしたか？LSCのログインID・パスワードはPOLのものと一緒な仕様の為(普通はPOLとは違うIDとパスワードを発行するもんだ)、LSCを使用する場合も被害を受ける可能性があります。どうしてもLSCを使用したい場合は、PS2でパスワードを変更後LSCにログイン。LSCをログアウトしたら、PS2でパスワードを以前のものに戻す等のひと手間が必要です。それでもIDだけは知られてしまう可能性を秘めていますので、パスワードを総当りで調べられるとお手上げです。ということで、少し頭を使えばLSCは使わないという結論に至るはずです。

数回連続でアカハックされました

アカハックをうけたPCでそのまま再度ログインしてませんか？一度被害を受けたらスクウェア・エニックス インフォメーションセンターよりアカウントを凍結、またはパスワード変更の申請を行った後、そのまま再ログインはせず、PCをクリーンインストールしましょう。一度被害を受けたPCでの再ログインは情報が筒抜け状態で大変危険です。２回、３回と被害を受けていては、盗られる物はもう何もないでしょうが、インフォメーションセンター・ＧＭコールの混雑につながり、他のユーザーにも迷惑になります。

---

これだけやってハックされたら本望！？
ユーザーができる最大の防衛法10カ条

１．Windows Updateをおこない、セキュリティーの穴をふさぐ

普通は自動更新で定期的に実行されるものですが、自動更新どころかPCを買ってから一度も実行されず「それなに？」状態の人はあなたのまわりに意外と存在します。やむを得ず、手動更新にしなければならなくても毎週１回は実行するように心がけましょう。

２．セキュリティーソフトを導入する

ノー○ンとかバ○ター、カ○ペルスキーなどどれでも良いのでひとつは導入しましょう。個々に検出率の違いはありますが、「これを入れておけばまず安心」というものは存在しません。でも入れるのと入れないのとでは月とスッポンなので、詳しくは自分で調べてみて気にいったものを入れましょう。もちろんウィルスパターンファイルを更新するのも忘れず行いましょう。

＞＞参考　スパイウェア対策をしよう

３．ファイアーウォールを導入する

ファイアーウォールはネットワークからの攻撃を防いでくれる効果があります。WindowsXPに標準で付属しているものや、各種セキュリティーソフトで設定できるものもあります。しかしそれに加えてここではルーターの導入をおすすめします。PCを直接ネットワークにつなげていると、ネットワークからあなたのPCは丸見え。常に危険にさらされているといっても過言ではありません。しかしルーターを導入すれば、ネットワークから見えるのはルーターのみになるので安全度は増します。最近のルーターにはファイアーウォールの機能がついたものがほとんど、よってルーターの導入は一石二鳥なのです。さらに言えば、ルーターにはパスワードを設定することも忘れてはいけません。パスワードの設定されていないルーターはないのと同じです。できれば容易に特定されないランダムの長いパスワードを設定しましょう。

＞＞参考　ファイアウォール（IT用語辞典）
＞＞参考　ブロードバンドルータ（IT用語辞典）

４．システムのバックアップをとる

上記３つの対策を講じてもウィルスなどの侵入を100％防げるわけではありません。未知のウィルスや対策されていないシステムの穴をつかれる場合があります。そのときはウィルス検出ソフトでも駆除できないので、一番安心できるクリーンインストールということになります。しかし、再度OSやドライバ・主要アプリを全て入れ直すのは大変時間と手間がかかります。そこでバックアップソフトを導入しましょう。最初のOSや主要アプリを入れたクリーンな地点でバックアップをとっておけば、いざという時の手間が軽減されることでしょう。

＞＞参考　バックアップソフト Acronis True Image 11 Home （Amazon.co.jp）

５．ブラウジングするPCとゲームするPCをわける

お金が湯水のようにあればしないこともないですが、現状できる人は限られます。なのでブラウザを使用する場合の防衛法を６以降に記します。

６．セキュリティーを詳細に設定できるブラウザを選ぶ

人気のないブラウザだから悪意ある攻撃には狙われないだろう。と、安易にブラウザを選ぶのは間違いです。どのブラウザを使っても少なからず危険はつき物です。大事なのはセキュリティに強いブラウザを選ぶことです。頻繁にアップデートがあるか・ページごとに個別にセキュリティーを設定できるかなどです。

＞＞参考　Sleipnir（fenrir）
＞＞参考　Firefox（mozilla）
＞＞参考　Opera（Opera Software）

７．Flash Playerなどプラグインソフトのアップグレードを行う

Webサイトにはブラウザだけでは表示できないコンテンツも存在します。動画ストリーミングサイトなどではWindows Media PlayerやFlash Player、Quick TimeやReal Playerなどが使われますね。しかしこれらのプログラムにある穴が悪用され、被害にあうといったこともめずらしいことではありません。しかもこれらは自動で更新されないために、最初から入っていた古いバージョンのまま使用している方が多く見受けられます。しかも今回の被害はまさにこれで、被害者もかなりの数にのぼるわけですから必ず最新版にアップグレードするようにしましょう。※１）もし複数のブラウザを使用している方は、ブラウザごとにFlash Playerのアップグレードを行う必要があります。※２）セキュリティーの穴が放置されているReal Playerは特別な理由がなければアンインストールしておいた方が懸命です。

＞＞参考　Flash Playerのアップグレードはこちらから
http://www.adobe.com/shockwave/download/download.cgi?P1_Prod_Version=ShockwaveFlash&Lang=Japanese&Lang=Japanese

現在の最新バージョンは 10,0,12,36 です。

＞＞参考　Flash Playerのバージョンチェック
http://www.adobe.com/jp/support/flashplayer/ts/documents/tn_15507.htm

＞＞参考　Flash Player・Real Player・JAVAランタイムなどのインストールしているプログラムを確認して、更新の必要のあるプログラムを指摘してくれるフリーソフト。Secunia PSI。（汁鯖の某ミスラさんからの情報）

８．通常のブラウジングではjavascriptを切る

javascriptはクライアントサイドで実行され、動的な表現方法を実現するプログラムですが、その自由さゆえによくウィルス関係に悪用されます。よほど信頼できるサイト以外は使用しないようにしましょう。そのほかにもjava・activeX・iframe・Cookie・オートコンプリートなどもすべて使用しないに設定し、使う時だけ切り替えるといった方法にするとよいでしょう。

９．パスワードをHDに保存しない

パスワードをHDに保存することは危険です。自動ログインなんてもってのほかです。面倒でも毎回入力するようにしましょう。バージョンアップで追加されたセキュリティー設定・ソフトウェアキーボードなども使用すると効果的です。しかし過信はできません。

１０．新しい情報に絶えずアンテナを張る

上の歴史を振り返ってみても、次々と新しい方法でアカハックが行われてきました。正直、次はどのような方法でくるか想像もつきませんが、どんな方法でくるにしても絶えずそういう情報を得られる状態にしておくことが最も重要です。そしてもしも自分がアカハックされたらと想定しておく。そうすればいざという時に必ず役に立つはずです。

１１（？）．PS2でプレイする

現在できる最大最高の対策。

---

他のサイト様の関連記事

• 080709・アカウントハックにご注意下さい - ☆あろぐ★ 様
• 不正アクセス増加中 - Wandering Alexandrite 様
  不正アクセス被害に遭ってしまったら
  不正アクセスの被害にあっていない脳筋の話
• ※嫌な予感を感じる人に - ■FF11■ある革職人の軌跡 様
  ※ＰＣ版ＦＦをプレイしている人へ
  ※XREAサーバのあれ
• 【警告】「今夜、あなたのアカウントが乗っ取られます。」 - マイケルのゴブ紀行 -番外変- 様

---

今見たらこの記事がちょうど100記事目という。天命かも！
なるべくわかりやすくまとめてみたつもりですが、どうでしょう・・・・
少しでも役に立てれば・・・と思い立ったしだいです。
防衛策ここまでやってもダメなら本当にワンタイムパスワードとか■eに導入してもらうしかないですね。とりあえずログイン制限でどこまでかわるか...。