Steamのリンクを開いたら見知らぬアカウントのログイン画面――r/Steamで警戒の声

Steamの正規のログイン画面が置かれているのは、`www.steampowered.com` `store.steampowered.com` `steamcommunity.com` `help.steampowered.com` の4つのドメインだけ。Steamサポートのアカウントセキュリティのページにはそう書いてあって、ログイン情報を求めてくるサイトが公式でないと疑われるなら、何も入力せず無視すること、とも続く。

その一文を引っぱり出したくなる投稿が、r/Steamに立った。友人とふざけているうちに、セールで見かけた出来の怪しいゲーム経由のリンクを踏んだ、という話。ブラウザで開くと、いつもならサインインを求められるはずの画面に見えるのに、そこに入っていたのは自分のものではない情報だった。

会ったことも聞いたこともない誰かのログイン情報が出てきた。ユーザー名は見えていて、パスワードも保存済みの状態で入っている。中身は見えない。

サインインを押すと、その人のSteam Guardに通知が飛ぶ。どうしてこんなことが起きるのか。

集まった反応は、驚くより先に出どころを疑う方向へ振れた。

そのリンクはまだ残ってる？　誰が送ってきた？　開いたのは相当あやしい代物だと思う。

どう考えても怪しい。Steamに報告して、念のためパスワードを変えておいたほうがいい。

リンクを不用意に開く癖そのものを軽く茶化す書き込みも混じっていて、話は「Steam側に穴があるのでは」という方向へは進まなかった。無理もない。身に覚えのない他人のユーザー名とパスワードがログイン欄に最初から入っている、という挙動は、Steamの仕組みとして案内されているものではないからだ。ブラウザの自動入力が絡んでいるのか、そもそもSteamではない見た目だけ似せたページなのか——切り分けができない段階で、まずリンクの出どころを疑うのは筋が通っている。

Steam Guardが有効なら、ユーザー名とパスワードが合っていてもそこで話は終わらない。2022年10月に更新されたモバイルアプリでは、サインインの確認が「承認」「拒否」の2択で表示されるようになっていて、確認画面にはサインインしようとしている端末の種類と、おおよその位置が地図つきで並ぶ。Valveは更新を告知した公式のお知らせの中で、パスワードが露出していてもアクセスの試みを拒否できる、と書いている。

つまり、投稿にあった「サインインを押したら相手のSteam Guardに通知が飛んだ」という状況は、裏返せば持ち主の手元で止まっている状態でもある。本当に危ないのは、身に覚えのない承認要求が届いたときに、中身を読まずに承認を押してしまうほう。地図もIPも端末名も、そこで一度立ち止まるために出ているにゃ。

承認済みデバイスから全端末をサインアウト

対処の順番も、サポートのページに並んでいる。まず承認済みデバイスを確認して、見覚えのないものがあれば「すべての場所からサインアウト」。次にパスワードの変更、メールなど関連アカウントの見直し、そして端末のマルウェアスキャンで、悪質なアプリやブラウザ拡張が入っていないかを見る。返信に出てきた「報告してパスワードを変える」は、この順番をほぼなぞっている。

同じログイン周りでもうひとつ重いのがQRサインインだよ。モバイルアプリでQRを読み取ると、ユーザー名もパスワードも打たずにサインインが通る。便利さと引き換えに、他人の画面に出ているQRを読み取れば、そのQRを出した側のブラウザへ自分のアカウントでサインインすることになる。出どころの分からない画面のQRにカメラを向けるのは、パスワードを手渡すのと同じ重さの操作だと考えていい。

Steam Guardの確認画面に出るのは、端末の種類と、おおよその位置と、承認・拒否の2つのボタン。今回の話でいちばん効いているのは、2つ目のボタンのほうだと思う。