コール オブ デューティ モバイルのプレイヤーは、無料のコール オブ デューティ ポイント配布を装ったフィッシングキャンペーンに注意する必要があると、Malwarebytesの研究者らが警告しています。
被害者はゲーム内のプレミアム通貨であるコール オブ デューティ ポイント(CP)を無料で受け取るためとして、メールアドレスとパスワードでのログインを求められます。その後、2FAコードを入力させる第2のページへとリダイレクトされます。
「このサイトはActivisionとは一切関係がありません。唯一の目的は、アカウント乗っ取りに必要なログイン情報を盗み出すことです」と研究者らは述べています。
Malwarebytesによると、コール オブ デューティ モバイルはこれまでに推定4億8,900万回ダウンロードされ、アプリ内課金による生涯売上高は約18億ドルに達しています。
Activisionアカウントは、そこに保存されているゲーム内ポイント以上の価値を持つことが少なくありません。プレイヤーはXbox、PlayStation、Battle.netのプロフィールとアカウントを連携させていることが多く、アカウントが乗っ取られると、登録済みの支払い方法や購入履歴、さらには連携している他のアカウントまで流出する恐れがあります。
詐欺の手口
公式のコール オブ デューティ モバイルサイトを装った最初のフィッシングページでは、正規の引き換えコードの代わりにメールアドレスとパスワードを入力することと引き換えに、10,800ポイントの無料コール オブ デューティ ポイントを提供すると謳っています。ページ上のメッセージには「特典は4時間から8時間以内に『確認』される」と表示され、これが詐欺師側の時間稼ぎとなっています。
偽のコール オブ デューティ モバイルサイト(出典:Malwarebytes)
「ただし、見破る手がかりもあります」と研究者らは指摘しています。ページには「GET FREE POINTS」ではなく「GET FREE POINT」と表記されているほか、案内文の言い回しがぎこちなく、サイトをより本物らしく見せるためだけに存在すると思われるライブチャットウィジェットも設置されています。
続くリダイレクトでは、「リアルタイム認証情報リレー」と呼ばれる手法が使われています。盗んだユーザー名とパスワードを後で使うために保存しておくのではなく、フィッシングサイトは入力された瞬間にそれらをActivisionの本物のログインページへ転送します。これにより本物の2FAコードが発行される場合があり、第2のページはこのコードを有効期限が切れる前に窃取するよう設計されています。
「被害者は最終的に、本物のアカウントへのアクセスに必要な情報をすべて渡してしまうことになります。パスワードと、本来は攻撃者の侵入を防ぐはずのワンタイムコードの両方です」と研究者らは付け加えています。
認証情報を入力してしまった場合の対処法
セキュリティ研究者は、偽のページに認証情報を入力してしまった人に向けて、以下の対応を推奨しています。
- Activisionのパスワードを直ちに変更する
- 2FAコードを入力した場合は、アカウントが侵害されたものとみなし、最近のアカウント activity を確認したうえで、すべてのアクティブセッションからサインアウトする
- 連携している支払い方法に不正な請求がないか確認する
ゲーム内キャンペーンを利用する際に最も安全な方法は、メッセージやSNSの投稿、広告内のリンクを開くのではなく、公式アプリを直接起動するか、パブリッシャーのウェブサイトアドレスを自分でブラウザに入力してアクセスすることです。
翻訳元: https://www.helpnetsecurity.com/2026/07/28/call-of-duty-mobile-players-scam/
