2009年09月15日
テーマ： REDSTONE(3546)
カテゴリ： セキュリティ
話の順序は変わるが、この度のアカウント大量盗難事件についてひとつの仮説を立ててみた。
当初は、キーロガーやそれに類するウィルスによる被害であるという意見が多数を占めており、
かつ、Wikiなどの改変によるウィルスサイトへの誘導も活発であった。
ところがどうも、最近の傾向はそれとは異なるようである。
大量の被害が一斉に広がるのではなく、徐々に広がっているということがその理由である。
３．RED STONEアカウント盗難事件についての仮説
以上が筆者が立てた仮説である。
被害の声を直接集めたわけではないので、説得力に欠けるものであるが、
この仮説についての意見、また被害時のパスワード文字数など、できればコメントいただきたい。
一般的なパスワードの考え方として、頻繁に変更したほうがいいという意見もあるが、
頻繁に変える人ほど忘れづらいパスワード、
推測可能な文字列であったり極端に短い文字数、であることが多いからである。
数字とアルファベット、可能なら記号を組み合わせたなるべく長いパスワードが好ましい。
当初は、キーロガーやそれに類するウィルスによる被害であるという意見が多数を占めており、
かつ、Wikiなどの改変によるウィルスサイトへの誘導も活発であった。
ところがどうも、最近の傾向はそれとは異なるようである。
大量の被害が一斉に広がるのではなく、徐々に広がっているということがその理由である。
３．RED STONEアカウント盗難事件についての仮説
- ID、パスワードの漏洩
- 入手されたID、パスワード利用 パスワードの強制変更後であれば、そのままの情報ではログインできない。
- パスワードクラック IDはすでに漏れているものと考える。
- 被害状況からの可能性 徐々に被害は増えている。
運営から警察への被害届が出ていないというのがもし事実であるならば、
この漏洩は内部者の犯行である可能性も否定できない。
内部者のデータ持ち出し⇒持ち出した本人の犯行、またはデータの転売。
転売すれば数十万から百万円程度の値はつくかもしれない。
ただし、このとき自らパスワード変更を行わず放置したままであれば、
生年月日を利用した外部からの変更が可能。
パスワードを自ら変更した場合は別の方法が考えられる。
残りはパスワードが一致すれば犯行が可能である。
内部者の持ち出しであれば、ログインするためのツール等も情報に付随していることが考えられる。
またそうでなくても、すでにあるログインツールのリバースエンジニアリングから、
クラックツールを作成する可能性もある。
RED STONEのパスワードは最低４文字、もし数字のみで構成されていた場合10,000通り、
1秒もかからずクラック可能といえる。
「徐々に」というところに注目した場合、これを行っているのはごく限られた人数、もしくはグループであると推測される。
ログインチェッカーのようなツールを駆使しているのであれば、
パスワードが脆弱なものから被害にあっている可能性が高い。
以上が筆者が立てた仮説である。
被害の声を直接集めたわけではないので、説得力に欠けるものであるが、
この仮説についての意見、また被害時のパスワード文字数など、できればコメントいただきたい。
一般的なパスワードの考え方として、頻繁に変更したほうがいいという意見もあるが、
頻繁に変える人ほど忘れづらいパスワード、
推測可能な文字列であったり極端に短い文字数、であることが多いからである。
数字とアルファベット、可能なら記号を組み合わせたなるべく長いパスワードが好ましい。
お気に入りの記事を「いいね！」で応援しよう
[セキュリティ] カテゴリの最新記事
-
「Shockwave Player」の脆弱性 2010年02月07日
-
最も安易なパスワードは？ 2010年01月30日
-
猛威をふるう「Gumblar」ウィルス、ホーム… 2010年01月14日
アカウント盗難事件について
_アイパス_
さん
記事を読ませて頂きましたのでコメント失礼します。
・ID、パスワードの漏洩について
5月31日の大規模事件については、翌日6月1日に運営からWEBサーバ他に不正アクセスされたと発表がありました(詳細はredstone wiki参照)。
仮に公式HPに脆弱性があり、フォーム等からクロスサイトスクリプティングやSQLインジェクションを行えたとすればその時点ですべてのID、パス、生年月日が抽出された可能性があると私はみています。
さらに、パス強制変更後や諸々の脆弱性対応後であってもﾊﾞｯｸﾄﾞｱ等を仕掛けていれば再度サーバに進入される可能性もあります。
また、以前にも運営は虚偽の報告をしてますので、"第三者からの不正アクセス"というのが嘘の報告であれば内部犯の可能性も多いにあると考えています。
何より、楽しむはずのゲームでこういうことが起きるのは悲しいです。
(2009年09月16日 10時02分31秒)
・ID、パスワードの漏洩について
5月31日の大規模事件については、翌日6月1日に運営からWEBサーバ他に不正アクセスされたと発表がありました(詳細はredstone wiki参照)。
仮に公式HPに脆弱性があり、フォーム等からクロスサイトスクリプティングやSQLインジェクションを行えたとすればその時点ですべてのID、パス、生年月日が抽出された可能性があると私はみています。
さらに、パス強制変更後や諸々の脆弱性対応後であってもﾊﾞｯｸﾄﾞｱ等を仕掛けていれば再度サーバに進入される可能性もあります。
また、以前にも運営は虚偽の報告をしてますので、"第三者からの不正アクセス"というのが嘘の報告であれば内部犯の可能性も多いにあると考えています。
何より、楽しむはずのゲームでこういうことが起きるのは悲しいです。
(2009年09月16日 10時02分31秒)
アカウント盗難事件について
とろろ2820
さん
＞_アイパス_さん
-----
コメントありがとうございます。
公式HPはたしかに安全とは言えないですね。
ログイン時、パスワード誤入力数回でパスワードロックをかけるとか、
もっと迅速に対応できる部分はあると思うんですよね。
(2009年09月17日 00時58分40秒)
-----
コメントありがとうございます。
公式HPはたしかに安全とは言えないですね。
ログイン時、パスワード誤入力数回でパスワードロックをかけるとか、
もっと迅速に対応できる部分はあると思うんですよね。
(2009年09月17日 00時58分40秒)
Re:アカウント盗難事件についての仮説(09/15)
むーとちん さん
これは、事実で現在被害続出中ですね。
最近、知り合いが2ヶ月前に被害に合い警察にいきました。
で、警察からゲームオンに連絡したが対応は悲惨なものであったとの事。と言うよりも警察に被害の相談は行っていない可能性が大です。今もサイトを見ると対応中とあるのでまだ警察沙汰になっていないんではないでしょうか・・まだまだ大騒ぎにならないと動かないのでしょうかねー (2009年10月31日 00時14分00秒)
最近、知り合いが2ヶ月前に被害に合い警察にいきました。
で、警察からゲームオンに連絡したが対応は悲惨なものであったとの事。と言うよりも警察に被害の相談は行っていない可能性が大です。今もサイトを見ると対応中とあるのでまだ警察沙汰になっていないんではないでしょうか・・まだまだ大騒ぎにならないと動かないのでしょうかねー (2009年10月31日 00時14分00秒)
Re[1]:アカウント盗難事件についての仮説(09/15)
とろろ2820
さん
＞むーとちんさん
-----
運営が加害者側、または捜査が入ることが運営にとって不都合である可能性は高いですね。
と、コメントありがとうございます。
警察が捜査に入るにはそれ相応の裏づけが必要であり、完全な黒だと断定できないかぎり表立って動きづらいというのが現状ではないでしょうか。
少し更新があいてしまいましたが、明日にでもまた記事を書きますね。
(2009年10月31日 02時02分24秒)
-----
運営が加害者側、または捜査が入ることが運営にとって不都合である可能性は高いですね。
と、コメントありがとうございます。
警察が捜査に入るにはそれ相応の裏づけが必要であり、完全な黒だと断定できないかぎり表立って動きづらいというのが現状ではないでしょうか。
少し更新があいてしまいましたが、明日にでもまた記事を書きますね。
(2009年10月31日 02時02分24秒)
【毎日開催】
15記事にいいね！で1ポイント
© Rakuten Group, Inc.
