Steamアカウントがハックされました(解決済)
アカウントがハックされる人は、よほどのマヌケか不運(ハードラック)と事故(ダンス)っちまったのかのどちらかだと思うのですが、今回は前者の方です。(自己申告)
また、今回のハックにより、ご迷惑とご心配をおかけしたSteamフレンドの皆さん、大変申し訳ありませんでした！再発防止に向け、この記事を執筆しましたので、ご笑覧いただければ幸いです。
ちょっと長いので、急いでる方は「1. 結論」だけ読むといいです。(TL: DRってやつだ)あとは罵詈雑言と閑話(本筋と関係ない話)を交えながら経緯とか反省会を行っています。クソが世。情けない……
1. 結論
1. パスワードや認証コードは誰にも教えちゃダメ！
2. 悩んだら正規のサポート窓口に相談だ！(steamだったら↓のリンク)
https://help.steampowered.com/ja/
3. 深夜の疲れてる時にめんどくさい事を言ってくる奴がいたら、明日に先送りしよう！(飯食って風呂入って寝よう)(順不同)
小学生向けのネットリテラシーなんとかみたいな内容っすね(冷静)
2. 3/14の経緯(被害者供述)
3/14(日)、午後11時ごろ。今日の分の仕事を終えたマヌケ(ルビ: 被害者)、「陽炎01型」(以下「陽炎」)は残りの体力をもって『僕たちが死ぬまであと七日』わくわく声優フリートーク に日本語字幕を追加する作業を行っていた。疲労、眠気、失われゆく体力とは裏腹に切れ味を増す怪翻訳、未だ慣れないYoutubeの字幕機能に苦しみながら、全手動字幕を生成し続けた。
そんな時、Discordに通知が入る。相手は見知らぬ外人兄貴(以下「外人」)。いつものことだ。こういう時のパターンはおおよそ3つ。
1. 「日本語で分からないとこがあるんですけど……」分かる範囲でかみ砕いて教える――
2. 「この中国のゲーム、英語版出ないの？」公開されているオフィシャルのコンタクト先を教える――
3. 「『ランス・クエスト マグナム』の質問なんだけど……」(先月末に英語版がリリース。)英語に訳しながら教える――
そして、今回の内容は3つのうちどれにも当てはまらなかった。なんでも、「間違えてValveにBANリポート送っちゃったんだけど、やめてって言っても聞いてもらえないから、Valveのスタッフ直接話し合ってほしい」(意訳)ときたもんだ。ホントかなぁと思って「Valveのスタッフ」のsteamアカウントを見たら、確かにValveの社員のようだ。なるほど、確かにこいつは信頼できそうだ。憐れな陽炎は外人兄貴に促されるまま、Discordでコンタクトをとってしまったのだ――
【参考1】: 「ValveがBANするって聞いてくれないんだ」と言って、外人が送りつけてきたスクショ。雑に意訳すると、「ミスったっちゅーなら証拠だせや」(無理難題)って感じ。Valveのサポートチケットのレイアウトなのが腹立たしいですね。(詐欺師が作ったのか、ホントにあったスクショなのかは不明。アカウント名を見たところ、捨てアカに怪しい動きをさせてValveスタッフにこの発言をさせたのではなかろうかと推測します。)
【参考2】:貼られたValveの社員のSteamアカウントページ(一部)(Enhanced Steam適用済)。凛然と輝くVALVE ADMINの文字。Steamrepで確かめると、確かにValveのスタッフだと明記されていた。しかし、Steamアカウントの持ち主と、Discordでコンタクトをとってきた「Valveのスタッフを名乗る男」が同一人物である証拠はどこにもない。
Valveのスタッフを名乗る男(以下「クソ野郎」)いわく、「お前のアカウントをBANするかもしれんわ。Steamの購入履歴を照会して、お前がホントにこのアカウントの持ち主か確かめるから、送ってくれや。」(意訳)ときたので、言われるがまま購入履歴を送った。おお神よ、陽炎はクソ野郎がValveのスタッフだと信じて疑っていないのだ！(蒸気空間で信頼できるのは正規のサポートだけです！)
【参考3】: クソ野郎から送られてきたスクリーンショット。「うわぁ、陽炎にめちゃくちゃレポートが飛んできています。私はそれを見て、BAN、それが恐ろしいと感じました！」(過剰直訳)右欄を見ると今にもBANされそうな雰囲気があるけど、よく見るとどれも「11 Pending Report」だし、そもそもこのアカウントは何もBanされていない。(Tradeもフレンド以外はしないし)右欄は合成でとってつけたいい加減なものだと推測されます。
【参考4】: 購入履歴の照会と言われて、送ってしまったスクショ。(一部ゲームタイトル、日時を加工済)表示されているヤツはツイとかで言及しているから残してあります。これはValve公式が本人確認を行う際、直近に購入したゲームやらを確認することがあるから送らせたのですね。ちなみに、最初の要求は小さいものから始めるのはマインドコントロールや詐欺の常套手段です。みんなも気をつけよう！(現在、送ったスクショは削除済みです。クソ野郎が保存しているとめんどくさいな……)
そしてクソ野郎はこちらの年齢を聞き――陽炎は答えました。クソ野郎は携帯に送らせたSMS認証コードを要求し――陽炎は答えました。(！？)かくしてわしの蒸気アカウントは、クソ野郎の手に落ちてしまったのでした。
めでたしめでたし。(いやめでたくはない)
【参考5】: すげぇペースで認証コードを急かすクソ野郎。(Discordのログ。ユーザー名加工済)通知音をひっきりなしに鳴らし、相手がゆっくり考える時間を奪う詐欺テクニックですね。クソ野郎の文が引用表記になっているのは、ある種の権威づけのようなものでしょう。それっぽく見せるテクなのかもしれない。
"kagerou01gata: I understand"(わかっていない) よく見ると、oldの前につけるべき冠詞がないし、phone numberに代名詞がついていない。(my)こんなんだから中学時代の英語の成績評価が1だったんだよな。(気をつけます……)(冷静だったらとっくに気づいているし、ここでとどまっていればハックされることもなかったけど)
その後はTF2の箱の鍵を買うように外部サイトに誘導され、さすがに気づきました。(TF2の箱の鍵はトレードの際に通貨代わりにされることが多い。Valveがセールしない数少ない商品だからね。つまり、黒い取引にもうってつけってワケだ)クソ野郎は追い打ちとばかりに通話をかけてきましたが、タガログ訛りの英語と背後に子供が走り回っているだろう声を聞いて、なんか急に憎めなくなってきました。まあ右腕詰めるだけで許してやるよ。(譲歩)
あとは「お決まりのお前のアカウンヨ返してほしかったら」金よこせ～とか言ってきたんで、適当にあしらいながらValveのサポートに報告する準備をしました。(蒸気空間で信頼できるのは正規のサポートだけ！)(2回目)
あと蒸気アカウントに紐づけしていたカードを止めておきました。ワンタイムパスワードにアクセスできないと思うけど、念のため。
3/15に続く！
【参考6】: 鍵の件を指摘したら蒸気プリペイドカードを3000ドル分買え！とか言ってきた。(ちなみに日本ではValve直販のプリペイドカードはないです。コンビニとかで売ってるのはwebmoneyが管轄してる)「wankerめ、殴るぞ。やだよ～だ。」と言いたいのをガマンして、「きゃー怖いですXD ゆるして～」(飛躍した訳)と命乞い(笑)をしたら――
【参考7】: なんか待ってくれた。いいのかよ……バカでよかった。
3. 3/15 サンキューValve!希望の未来へレディ・ゴーッ!!
3/15午前0時、まずValveサポートに連絡をしないといけません。サポートに連絡する上で必要な情報は以下の通り。
・登録したメールアドレス
・登録した電話番号
・Steamに登録したクレジットカードのタイプ(選択できるから悩まないよ)
・クレジットカードの番号
・カード所有者名
・登録したCDキー(外部サイトのものでもOKみたい。陽炎はHumbleのスクショを送りました。)(大人気パラドゲー)(インペロ)
今回わしは全部送れたけど、欠けてるのがあっても大丈夫。そのまま送りましょう。その他個人情報を照会してくれます。(ここで直近の購入記録とかを参照されることもあるかもしれない)
よし。万事尽くした。あとは寝よう…………怒りだ。腸(はらわた)が煮えくり返りそうな怒り。なかなか寝付けず、目頭が少し痛んだ。
そして朝。午前7時。今日もいい天気。朝食を作り、庭の掃除をしながら、登校する子どもたちの威勢のいい挨拶を受ける。陽炎は年に似合わぬ爽やかな声を作り、これに応えた。去りゆく子どもたちは口々に、「今日のおっさん、元気なかったなぁ」とこぼしていった。ショゲていたのはお見通しのようだ。
メールを確認していると、その最後に心から待ち望んだ一葉があった。Valveのサポートチケットだ。
サポートに促されるまま、手続きを完了した。最初に返信して30分ばかりのことであろうか。仮パスワードが発行され、陽炎は不手際で失われたアカウントはあっさりと取り戻されたのでした。めでたしめでたし。
【参考8】: サポートチケットの冒頭。追加の情報は本人しか知りえないもので、クソ野郎が回答できるものではありません。ありがたいなぁ。
4. 反省会
何がいけなかったか、振り返りましょう。
1 認証コードを送ってしまったこと
マヌケにもほどがある。Valveのスタッフですら、パスワードを要求することはないと明記されているというのに。実はこれまで色んな「クソ野郎」どもに蒸気パスワードを聞かれたり、TF2の箱の鍵を買うように迫られたことは山ほどありましたが、さすがに全て回避してきました。怪しいもんね。しかし認証コードのことは全然気にしていませんでした。バカでしょ。
2.1 そそのかされて、Discordで話を進めてしまったこと
先に記した通り、Valveのサポートは基本的ンサポートチケットでのみ行われます。Steamチャットや、社外ツールのDiscordはもってのほかです。これでコンタクトをとってきたことに警戒するべきでしたね。
2.2 「Valveのスタッフ」を疑わなかったこと
後に「クソ野郎」の隠れ蓑にされたスタッフについて調べると、3Dアニメーターであることがわかりました。つまり……カスタマーサービスに関わるはずがなかったのですね。また、クソ野郎から送られたスクショを調べてみるとどうやら彼のアカウントもハッキングされてしまったようです。Valveの公認マークは葵のご紋ではないのですねぇ(世代がバレる例え)(信じた人)
【参考9】: クソ野郎が送った「Valveスタッフ」のスクショ。(ユーザー名など一部加工済)確かにこのバッヂはValveのスタッフしか持ちえないものだ。しかし、右上の表示が怪しい。Install Steamのボタンが出ているということは、これはSteamクライアント以外のブラウザからログインしていることを示し、緑に光る通知欄は1万を超えている。そしてSteamウォレット！30198.20ドル(約330万円)ドルもの大金が！最後に行った脅迫に従い、蒸気カードのコードを送ってしまった者が多数いるのだろうか？
3. 判断能力が低下している時に判断を下したこと
要するに疲れてるのに余計なことするな、ってことだ。疲れたなら、ちゃんと寝ましょう。ちゃんと休みましょう。世話焼きは時間外労働にならないんですよ！
せめて朝飯食った後で判断するべきでしたね。(いつぞやのインタビューでもこんなこと書いた気がする)
これを踏まえて、冒頭で記した結論を再確認しましょう。
1. パスワードや認証コードは誰にも教えちゃダメ！
2. 悩んだら正規のサポート窓口に相談だ！(steamだったら↓のリンク)
https://help.steampowered.com/ja/
3. 深夜の疲れてる時にめんどくさい事を言ってくる奴がいたら、明日に先送りしよう！(飯食って風呂入って寝よう)(順不同)
5. 感想
これまで内心、アカウントがハックされるのはセキュリティ意識が低い情弱だと思っていましたが、まあ実際その通りで自分はセキュリティ意識が低い情弱だったせいで見事に引っかかってしまいました。マヌケだなぁ。
また、2つのアカウントを利用して騙す手口はなかなか巧妙だと思いました。まあオレオレ詐欺の手口みたいなもんだけどね。息子を名乗る男が家に電話をかけて、銀行職員を名乗る男がお金を受けとる――みたいな。今回はアカウントが2つってだけだから、実際は1人がやったと思うけど。
【参考9】:わしのアカウントがハックされている間、フレンドの皆さんにスパムを送っていた様子。(モバイルから再現)どうもDiscordで最初に接触してきた「外人」と同じ定型文を送っているようです。フレンドの皆さんは賢く、日本語話者だったので冷静に「対処」していただきました。申し訳ありません！ありがとうございます……！
ちなみにわしはSteamチャット、基本的には使いません。ログが残りにくいからね。twitterやDiscordのDMは大歓迎です。いつでもどうぞ。取り込み中でも後で読みます。今回はこの精神のせいで引っかかったのかもしれないけど……
重ねて、今回は蒸気フレンドの皆さんにご迷惑とご心配をおかけしてしまい、大変申し訳ありませんでした！この記録が皆さんの他山の石となりますよう、お役に立てれば幸いです。
今回の記事はこれでおしまいです。次回はほんやく後記(ストックが大量にある)の何かを公開したいところです。お楽しみに！
ほんやくに必要なあれこれの原資になります。よろしくネ