友人アカウントを装った「Steamトーナメント詐欺」の手口と対策を徹底解説

PCゲーマーの間で絶大な人気を誇るSteamは、その知名度ゆえに詐欺師たちの格好の標的にもなっています。Steamアカウントを持っているなら、どんな攻撃手法が存在するのかを知り、被害に遭わないための備えをしておくことが重要です。

なかでもよく見られる手口の一つが、「友人のアカウント」から届くメッセージを使い、偽のトーナメントサイトへ誘導してログイン情報を盗み出す詐欺です。今回は実際にあった事例をもとに、その仕組みと対策を詳しく解説します。

「友人」から届くSteamトーナメント詐欺の手口

この事例では、被害予定者(以下「グリーン」と呼びます)の実生活での友人(以下「ブルー」と呼びます)を装ったアカウントから、Steamチャットで何気ないメッセージが送られてきたことから詐欺が始まりました。

ブルーは確かにグリーンの知り合いですが、しばらく連絡を取っていなかったため、グリーンは近況を尋ねるために返信しました。しかし、相手の返答はどこか曖昧で、会話を引き延ばす程度の内容しかありません。

しばらく世間話をした後、詐欺師は本題に入ってきました。「自分の友人がCS:GO(Counter-Strike: Global Offensive)のトーナメントに出場するために、あと少し票が必要なんだ。友チームに投票してくれないか?」という依頼です。

ここでグリーンは違和感を覚えました。フィッシング詐欺では「助けてほしい」という依頼を通じて、友人への信頼を悪用するケースが非常に多いからです。そこでグリーンは「俺たち、どこで知り合ったっけ?」と質問しました。すると、相手は間違った答えを返してきました。

グリーンは即座に相手を追い返し、本物の友人にFacebook経由で連絡を取り、Steamのパスワード変更を促しました。パスワードを変更し、すべてのデバイスからサインアウトすることで、詐欺師はアカウントから締め出されることになりました。

元被害者が語る、アカウント乗っ取りの経緯

アカウントを取り戻した後、ブルーは自分のアカウントがどうやって乗っ取られたのかを説明してくれました。彼自身も同じ手口の被害者だったのです。あまり親しくない「友人」からSteamでメッセージを受け取り、偽トーナメントへの「投票リンク」をクリックしてしまったといいます。

さらに分かったのは、詐欺師がアカウントを掌握した後、本物のオーナーであるブルーをブロックしていたという点です。これにより、自分のデバイス上でチャット通知が届かないようにしていたのです。本来なら通知が来た時点で異変に気づけたはずでした。会話が行われていた当時、本物のオーナーはオンラインでゲームをプレイ中だったのです。

Steamチャットに表示された偽サイトのプレビューを見ると、Steamとは無関係のものであることが一目瞭然です。説明文のピリオド後にスペースがないことや、「Any Rank.(任意のランク)」という途切れた文など、正規の団体が書いたものではない明白な痕跡が残っています。

詐欺師がどうやってSteamガード(二段階認証)を突破したのかは定かではありません。おそらく偽サイトで二段階認証コードの入力を求められ、それを入力してしまったのでしょう。このコードはSteamモバイルアプリで生成されるか、メールで送信されます。

もしグリーンがこの詐欺に引っかかっていたら、攻撃者は彼のアカウントを使ってさらに多くの友人を騙すことに成功していたでしょう。大量のアカウントを手に入れた泥棒たちは、不正なSteamトレードや、より高度な詐欺へと手を広げることが可能になります。

偽トーナメントサイトを徹底検証

安全性のためURLは非公開としますが、ブルーが提供したリンク先の偽サイトを検証することには大きな意味があります。詐欺ページ特有の兆候を学ぶ良い教材だからです。

一見すると、このサイトはかなり説得力があります。ASUSのROG(Republic of Gamers)ブランドを利用して正当性を演出しており、「トーナメント」に関する「情報」も掲載されています。しかし、詳細をよく見ると極めて曖昧です。大会の日時が一切記載されておらず、「タイムゾーンごとの実際の日付を確認するにはサインインしてください」と表示されるのです。

もう一つの危険信号は、上部のQuick Match(クイックマッチ)やChallenges(チャレンジ)などのタブをクリックしても何も起こらないことです。これらはすべてSteamアカウントへのサインインを促すだけであり、それこそがこの偽サイトの目的です。

Support(サポート)セクションには、存在しないドメインのメールアドレスが記載されています(そのドメイン自体も詐欺用の偽サイトです)。また、サイトがHTTPS対応だからといって安全だと思わないでください。HTTPSは接続が暗号化されていることを意味するだけで、悪意あるサイトへの暗号化接続も存在します。

ドメインのWHOIS検索を行うと、このドメインは詐欺が発生した前日に登録され、ロシアで登録されたものであることが判明しました。明らかに不審な兆候です。

ページ内には細かなタイポも散見されます。「Good Luck」の「L」が大文字になっている点や、「Please contact the support」という不自然な英語表現などがその例です。

これらすべてが偽サイトの典型的な特徴ですが、「友人を助けなきゃ」と急いでいるときには、こうした点に気づけないものです。このサイトにログイン情報を入力してしまえば、それはトーナメントへの投票ではなく、詐欺師への情報提供になってしまいます。

Steam詐欺から身を守るためのポイント

詐欺の進行過程と偽サイトの実態が分かったところで、具体的にどう防げばよいのでしょうか?

まず大前提として、友人のアカウントから届いたメッセージが必ずしも本人からのものとは限らないことを覚えておきましょう。Facebookのクローン詐欺と同様、この種の手口は「友人への無条件の信頼」を悪用しています。

詐欺師はあなたの知人になりすます際、曖昧な言葉遣いを使ってごまかそうとします。先ほどの会話の最後の画像では、本物の友人が絶対に使わない「bro」という言葉を使ったことで、グリーンが違和感を覚えたことが分かります。不審に思ったら、本人にしか分からない質問を投げかけてみてください。

次に、すべてのリンクに警戒心を持つことです。仮に「友人」から送られたリンクを開いてしまった場合でも、個人情報を入力する前に、今回のようにサイトを冷静に分析しましょう。不審な点について詐欺師に問いただせば、言い訳をしてくるはずです。それこそが偽物である証拠になります。

最後に、信頼できると確信できない限り、第三者サイトでSteamアカウントを使ってサインインしないことです。

ゲーム価格アラートサイトなど、Steamログインに対応した正規サービスも存在します。しかし、安易に利用してはいけません。Steamの認証情報でログインする前に、そのサイトが他のユーザーから信頼されているかを必ず調べましょう。

正規性を確認する有効な方法として、まずSteam公式サイトで自分のアカウントにログインしてから、第三者のログインページを開くというやり方があります。正規のサイトであれば、単純にSign In(サインイン)ボタンが表示されるだけです。すでにログイン済みなのに改めてSteamの認証情報を求めてくるサイトは、詐欺を狙っていると考えて間違いありません。

アカウントを守るためのさらなる方法については、Steamアカウントセキュリティガイドも参考にしてください。万が一このような詐欺に引っかかってしまった場合は、直ちにSteamのパスワードを変更しましょう。

Steamアカウントを詐欺から守ろう

このSteamトーナメント詐欺は決して新しい手口ではありません。今回の特定のサイトはいずれ閉鎖される可能性が高いものの、代わりの偽サイトがすぐに現れるでしょう。詐欺師はこのような手法で友人のアカウントに侵入できるという事実を認識し、この記事を友人たちと共有して、今後の被害防止に役立ててください。

より強固な保護のためには、オンラインゲームを楽しむ際のセキュリティ対策についても理解を深めておくことをおすすめします。