スクウェア・エニックスは10月19日、FINAL FANTASY XIV の公式サイトで、他社のサービスから流出したとみられるメールアドレスやアカウント ID とパスワードの組み合わせを使い、スクウェア・エニックス アカウントへ不正にログインするケースを確認したと告知した。被害が疑われるアカウントはログインを制限しており、不正アクセスが増え続ければ全アカウントのパスワードをリセットする可能性もあるという。
FINAL FANTASY XIV 公式サイト「[重要]不正アクセスとアカウント管理に関するご注意」(10月19日)FINAL FANTASY XIV, The Lodestone
狙われているのはゲームの腕前ではなく、別のサービスと同じパスワードだ。自分のアカウントが当てはまるかどうかは、自分で確かめるしかない。
告知が言っていること
手口は、他社で流出した ID とパスワードの組み合わせをそのまま試すものだ。同じ組み合わせを他のサービスでも使っている人は、被害に遭う可能性が高くなる。他社で使っていない組み合わせでも、同じ文字や数字の繰り返し、生年月日のように類推しやすいパスワードは危ないと告知は書いている。
被害の件数や、どの会社から流出した情報なのかは書かれていない。分かっているのは、使い回しと推測しやすいパスワードを狙ったログインが実際に起きている、というところまでだ。
このアカウントは FF14 だけの入り口でもない。同社のサポート FAQ によると、FF14 かドラゴンクエストX で不審なアクセスが見つかってログインが制限されると、同じアカウントを使う FF11 や DQ10 にも入れなくなる。
いま確かめる3点
- 同じパスワードを他で使っていないか。 使っているなら、告知は至急の変更を求めている。変えるのはスクウェア・エニックス側だけでは足りない。同じ組み合わせを使っている他のサービスも、同じ理由で狙われうる。
- ログイン制限のメールが届いていないか。 制限されたアカウントの登録メールアドレスには「ログイン制限解除に関するご案内」が届き、案内どおりにパスワードを再設定するとログインできる。メールを消した、または URL の期限が切れた場合は、ログインページの「ID・パスワードを忘れた方はこちら」から再設定する。サポートセンターが代わりに解除することはできない。
- ワンタイムパスワードを入れるか。 一定時間だけ有効で、一度使うと無効になる 6 桁の数字を、ID とパスワードに加えて入力する仕組みだ。Google Authenticator などの認証アプリなら無料で使え、キーホルダー型のセキュリティトークンは同社の e-STORE で売られている。FAQ は、導入すればログイン制限にかかる頻度を下げられるとしている。
手間もある。同社が配っていた専用アプリ「ソフトウェアトークン」は 2023年11月21日に新規登録を終えており、いま入れるなら他社の認証アプリか、ハードウェアのトークンになる。認証アプリはスマートフォンの中で数字を作るので、機種変更や紛失のときにどう引き継ぐかは、入れる前に案内ページで確かめておきたい。
全アカウントのリセットが来たら
告知は、不正アクセスが今後も増えるなら、すべてのアカウントでパスワードをリセットする可能性があると書いている。そうなれば、使い回しをしていない人も含めて全員がパスワードを作り直すことになる。先に変えておけば、その日に慌てずに済む。
ことば
- パスワードリスト型攻撃 — 別のサービスから流出した ID とパスワードの組み合わせを、そのまま他のサービスで試す不正ログインの手口。使い回しがある限り、狙われたサービス側の守りとは関係なく入られてしまう。
- ワンタイムパスワード — 一定時間ごとに変わる使い捨ての数字。パスワードが漏れても、この数字を作る端末が手元になければログインできない。同社も告知の中で導入を勧めている。
次の動きは、FF14 公式サイトの「重要」なお知らせ欄に出る。全アカウントのリセットに進むかどうかは、そこの続報で確かめられる。
ゲームのアカウントには、遊んだ時間や買ったアイテムが積み上がっている。その入り口を、どこか別のサービスと同じ鍵で閉めていないか。あなたはいくつのサービスで、同じパスワードを使っているだろうか？
