Call of Duty Mobileのプレイヤーは、無料のCall of Duty Points配布を装ったフィッシングキャンペーンに注意する必要があります。
被害者はまず、ゲーム内のプレミアム通貨であるCall of Duty Points(CP)を無料で受け取るためとして、メールアドレスとパスワードでのログインを求められます。その後、二要素認証(2FA)コードの入力を求める2ページ目にリダイレクトされます。
このサイトはActivisionとは一切関係がありません。目的はただひとつ、アカウント乗っ取りに必要なログイン情報を盗み出すことです。
Call of Duty Mobileアカウントが狙われる理由
Call of Duty Mobileは全世界で推定4億8,900万回ダウンロードされており、アプリ内課金の累計売上は約18億ドルに上ります。
Activisionアカウントの価値は、単にゲーム内通貨だけにとどまりません。多くのプレイヤーはActivisionアカウントをXbox、PlayStation、Battle.netと連携させているため、ログイン情報が盗まれると次のような情報が流出する恐れがあります。
- 登録済みの支払い方法
- 購入履歴
- 連携している他のゲームアカウント
詐欺の手口
最初のページはCall of Duty Mobileの公式サイトを模倣しており、メールアドレスとパスワードと引き換えに1万800ポイントを無料で提供すると謳っています。これは引き換えコードではなく、アカウントへの完全なログイン情報そのものです。さらに「4〜8時間以内に」特典が「確認」されると主張しており、これは何も届かないことに被害者が気づくまでの時間稼ぎとみられます。
ただし、警戒すべき兆候もあります。ページには「GET FREE POINTS」ではなく「GET FREE POINT」と表記されているほか、不自然な言い回しの案内文があり、サイトをより本物らしく見せるためだけに存在すると思われるライブチャットウィジェットも設置されています。
このリダイレクトは、「リアルタイム認証情報リレー」と呼ばれる、フィッシングでよく使われる手口に沿ったものです。盗んだユーザー名とパスワードを後で使うために保存するのではなく、フィッシングサイトはそれらを即座に本物のActivisionログインページへ送信します。これにより本物の二要素認証(2FA)コードの発行がトリガーされ、2ページ目はそのコードが失効する前に窃取するよう設計されています。
結果として被害者は、本物のアカウントにアクセスするために必要なもの、つまりパスワードと、本来は攻撃者の侵入を防ぐはずのワンタイムコードの両方を、まるごと攻撃者に渡してしまうことになります。
この詐欺を避ける方法
- アドレスバーを確認すること。正規のキャンペーンであれば、見慣れないウェブサイト経由でのログインを求めることはありません。
- カウントダウンタイマーに急かされないこと。よく考える前に行動させるための仕掛けです。
- キャンペーンが本物かどうか判断できない場合は、リンクをたどるのではなく、公式のCall of Duty Mobileアプリを開くか、Activisionの公式サイトに自分で直接アクセスすること。
- 詐欺を自動的に見抜いてくれるツールを活用すること。Malwarebytes Scam Guardは不審なリンクの確認に役立ち、Malwarebytes Browser Guardは多くのフィッシングサイトを読み込む前にブロックします。
- スマートフォンでプレイしている場合は、Malwarebytes Mobile Securityがフィッシングサイトなどモバイル特有の脅威をブロックし、もう一段階の保護を加えてくれます。
すでに情報を入力してしまった場合
- 直ちにActivisionのパスワードを変更してください。
- 2FAコードを入力してしまった場合は、誰かがすでにアカウントにアクセスした可能性があるとみなしてください。アカウントのアクティビティを確認し、すべてのデバイスからログアウトしてください。
- 連携している支払い方法に不正な購入がないか確認してください。
このようなフィッシング攻撃を避けるもっとも簡単な方法は、メッセージやSNSの投稿、広告のリンクをたどるのではなく、ブラウザにアドレスを直接入力するか、公式アプリを使って自分自身でウェブサイトにアクセスすることです。
詐欺師はあなたが思っている以上にあなたのことを知っています。
Malwarebytes Mobile Securityは、フィッシング、詐欺メッセージ、悪質なサイトなどからあなたを守ります。リアルタイムのAI搭載Scam Guardを標準搭載。
