FF14のスクエニアカウントに不正ログイン、他社サービスで流出したパスワードの使い回しが狙われる

ほかのサービスで使っているメールアドレスとパスワードを、そのままスクウェア・エニックス アカウントにも使っている人は要注意だにゃ。

『ファイナルファンタジーXIV』の公式サイト「ザ・ロードストーン」に、10月19日付で[重要]「不正アクセスとアカウント管理に関するご注意」が掲載された（公式のお知らせ）。他社のオンラインサービスで流出したとみられるメールアドレス／アカウントIDとパスワードの組み合わせを使い、スクウェア・エニックス アカウントへ不正にログインする行為が確認されているという内容だよ。スクウェア・エニックス側のシステムから情報が漏れたという話ではない。よそで漏れた組み合わせを片っ端から試す、いわゆる「パスワードリスト型攻撃」とみられる手口だね。

危ないのは2ケース、該当なら即変えよう

お知らせが挙げている危ないケースは2つ。

• 他社サービスと同じ組み合わせのメールアドレス／アカウントIDとパスワードを使っている
• 同じ文字や数字の繰り返し、生年月日など推測しやすいパスワードを使っている

前者に当てはまらなくても、後者なら破られる可能性は高くなる。どちらかに心当たりがある場合は、すぐにパスワードを変えてほしいと公式は呼びかけている。パスワードの再設定はスクウェア・エニックス アカウントの再設定ページから手続きできる。

スクウェア・エニックス アカウントは、FF14だけでなく同社のほかのオンラインサービスにも共通して使う場合がある。1つのアカウントが乗っ取られると、被害はFF14のキャラクターだけで済まないかもしれないにゃ。

運営は被害の拡大を防ぐため、不正アクセスが疑われるアカウントにログイン制限をかけている。制限されたアカウントには、登録しているメールアドレスへ解除の案内が届く。パスワードを再設定すれば、再びログインできるようになる仕組みだよ。詳しい流れはログイン制限についての案内にまとまっている。

「ログインできなくなった」という場合は、乗っ取られかけてこの制限がかかった可能性がある。届いたメールを確認してみるといいかも。ただ、制限の案内を装った偽メールが出回ることもあるので、メール内のリンクを開く前に送信元はよく確かめておきたいね。

対策としてお知らせが勧めているのがワンタイムパスワード。一定時間だけ有効な使い捨てのパスワードで、通常のパスワードと一緒に使うことで、IDとパスワードが漏れていてもログインされにくくなる。設定方法はワンタイムパスワードの案内にある。

機種変更などでワンタイムパスワード用のアプリを消すときの注意も、9月に別のお知らせで出ている。導入済みの人は、スマートフォンを買い替える前に手順を確認しておくと安心だね。

お知らせの最後には、こんな一文が添えられている。

公式のお知らせより：

今後も継続して不正アクセスが増加する場合には、すべてのスクウェア・エニックス アカウントに対して、パスワードリセットを実施させていただく可能性もございます

全アカウントが一斉にリセットされれば、使い回しをしていなかった人も含めて、全員がパスワードを設定し直すことになる。今のところはあくまで「可能性」の段階だよ。

運営が求めているのは、パスワードを1つ変えることと、ワンタイムパスワードを1つ足すこと。その2つをやっておけば、リストに載った組み合わせでログインされることはまずなくなるにゃ。