ゼロからわかる最新セキュリティ動向 第27回

ネットワークゲームプレイヤーを狙う不正プログラムやフィッシングに要注意！

ゲームのアイテムを日本円に替えるRMTにまつわる危険とは？

近年「GREE」などに代表されるオンラインゲームの市場が拡大している。それと同時にオンラインゲームなどで利用される仮想の金銭を現実のお金に変えるRMTも拡大しているのだ。RMTの仕組みを説明する前に、まずはオンラインゲーム、仮想世界の話をしよう。

仮想世界の市場

　オンラインゲームにもさまざまなものが存在する。たとえば、インターネットを介して将棋やチェスを対戦するゲームもあれば、戦場を舞台にしたアクションゲームも存在する。しかし、もっとも注目を集めているオンラインゲームはMMORPG（Massively Multiplayer Online Role-Playing Game：多人数同時参加型オンラインRPG）と呼ばれるものだろう。たとえば、

1. ラグナロクオンライン（ガンホー・オンライン・エンターテイメント）
2. リネージュ／リネージュII（エヌ・シー・ジャパン）
3. ファイナルファンタジーXI／ファイナルファンタジーXIV（スクウェア・エニックス）

　などがそうだ。これらMMORPGといわれるオンラインゲームは、1つのサーバーに数千人のプレイヤーが同時にログインしゲームを行なっている。 ここでいうサーバーとは、物理的なサーバーではない。MMORPGでは、サーバーやワールドと呼ばれる単位で複数の同じ世界が存在する。3万人が同時に1つのサーバへアクセスすると処理が重くなってしまうため、10個のサーバーに3千人ずつ割り振るなどの対策をしている。

　RPGを体験したことのある方であればわかりやすいと思うが、ゲーム内のプレイヤーが強くなるための武器や防具といったアイテムを手に入れるためには、モンスターを倒してゲーム内のお金を入手しなければならない。ここでは仮に単位をゴールドとする。

　たとえば「魔法の剣」が100ゴールド、「魔法の鎧」が500ゴールドだとしよう。MMORPGでは、ゲーム内の操作で、プレイヤーAが入手したアイテムをプレイヤーBへ販売することができる。これはよく行なわれる行為であり、ゲームの規約（ルール）に則ったものだ。先程の「魔法の剣」をプレイヤーAからプレイヤーBに80ゴールドで販売するといった感じだ。

　一方、このようなオンラインゲームのアイテムを、ゲーム内ではなく現実に売買するアンダーグラウンドWebサイトが存在する。こうしたサイトでは、先程の「魔法の剣」が200円、「魔法の鎧」が1000円でといったように、現実のお金で売り買いされている。現実のお金（Real Money）で取引（Trade）を行なうことから、「RMT（Real Money Trade）」と呼ばれている行為だ。

図1　オンラインゲームのアイテムを売買

　RMTサイトでは、ゲーム内のアイテムだけでなく、ゲーム内のお金を売買するケースも多い。モンスター1匹を倒したことで、10ゴールドを入手できるとしよう。魔法の鎧を（ゲーム内取引で）購入するために500ゴールドを貯めようとしたら、50匹倒す必要がある。もし、6万ゴールドを手に入れたければ、倒すモンスターの数は6000匹だ。1匹を1分で倒せたとしても、100時間かかってしまう。こうした手間を省くために、RMTサイトで現金を支払ってゴールドを購入するのだ。

　このような売買行為は、現実の法律（日本の刑法など）に反するわけではなく、法律上の犯罪としては摘発されない。しかし、ゲームの規約としては禁止しているケースも多く、売買された事実が判明した場合は、強制的にアカウント（ゲームの利用権）を取り消される可能性もある。

RMT業者がアイテムやゴールドを手に入れる方法とは？

　それでは、こうしたRMT業者は、どうやってゲーム内のアイテムやゴールドを入手するのだろうか？この方法には、ゲームの中で稼ぐ方法と、ゲームの外で稼ぐ方法がある。

　ゲーム内で稼ぐ方法とは、モンスターを倒すなど、一般プレイヤーと同様の方法でアイテムやゴールドを手に入れる方法だ。ただし、高級なアイテムや多くのゴールドを出しやすいモンスターの発生場所を占有してしまうなど、一般のプレイヤーからは非常に嫌われる存在となっているようだ。また、ゲームのプログラムや通信内容を改ざんしたりして、戦いを有利にするルール違反のツールを使うケースも見受けられる。

　ゲーム外で稼ぐ方法は、不正な手段だ。1つは、オンラインゲームのIDとパスワードを詐取する不正プログラムをユーザーに感染させるものだ。こうして不正に入手したIDとパスワードを使って、正規のユーザーに成り代わってゲームにログインし、アイテムやゴールドを盗んでしまう。

図2　不正プログラムによるID、パスワードの詐取

　もう1つが、フィッシングサイトを利用する方法もある。不正プログラムに感染させる手法と同様に、フィッシングサイトへ誘導して、IDとパスワードを入力させて情報を盗んでしまう。たとえば、図3が2010年8月に確認されたファイナルファンタジーXIのフィッシング詐欺サイトだ。画面左が正規のWebサイト、画面右がフィッシング詐欺サイトで、言語の違い以外は非常に似せた作りになっている。

ファイナルファンタジーXIの正規のWebサイト

フィッシングサイト

ビジネスとして成り立つのか？

　アンダーグラウンドのビジネスであろうが、それが儲からなければやる者はいない。今回のようなオンラインゲームを利用したアンダーグラウンドビジネスは成り立つのだろうか？

　結論からいうと、成り立つ。オンラインゲームの中にはレアアイテムと呼ばれるものがあり、これは現実のお金で数十万円もの金額で取り引きされるものもあるからだ。もちろん日本のプレイヤーにとっては、モンスターを倒して稼いだゴールドをRMTで売却しても、たいした金額にならないため旨味は少ない。しかし、日本より物価の安い国にとっては、日本のオンラインゲームで稼いだゴールドが日本円になれば、大きな利益となり得る。つまり、旨味のあるビジネスとなるのだ。

　このようなオンラインゲームのネット犯罪から身を守るためには、PCにウイルス対策ソフトを導入するのは当然として、ワンタイムパスワードの利用、ゲーム内外問わず不審なメールなどを不用意に開かないことが必要だ。

　次回は事例を交えて、誰もがネットにおける加害者になってしまう事例を紹介する。

筆者紹介：内田 大介（うちだ だいすけ）

トレンドマイクロ株式会社　マーケティング本部 コーポレートマーケティング部
コアテク・スレットマーケティング課 マーケティングスペシャリスト
商社系SIerにてシステムの営業／コンサルティングを経験し、2006年トレンドマイクロ入社。広報担当として報道対応を行うとともに、会社のブランドマーケティングに従事。2010年からセキュリティ啓発の専任担当となり、講演・執筆活動を行っている。