XboxLIVEアカウントハッキング

XboxLIVEアカウントで見知らぬポイント購入があり、オークションサイトで売られていたらしい。

  1. XboxLIVEアカウントがハック(クラック)され(?)
  2. そのアカウントで家族プランを利用してMSポイントを購入
  3. 別の新規アカウントにポイント贈与
  4. その新規アカウントがオークションサイトに出品

という経緯だって。

Microsoft: A Company With No Brains, Heart or Soul

通常、元のアカウントは秘密の質問などが変更され、本来のユーザーはログインできなくなってどうすることもできないんだとか。

ただ、リンク先の人はなぜかログインできたそうで、その際にポイント贈与対象アカウントにメッセージを送って、どこで手に入れたかを聞き出したそうな。


1月10日追記。

日本人にも被害者が増えている模様。

Xbox Liveのアカウントを不正利用されました。

gmailをチェックしていたら、「Windows Live アカウント セキュリティの確認」というメールが届いていました。曰く「お使いの Windows Live アカウントに連絡用メール アドレスが追加されました。」でも、そんなメールアドレスを追加した覚えはありません。「追加した覚えがない場合は、下のリンクを使用して要求を取り消してください。」の指示に従ってアカウント管理画面に飛ぶと、既に他のメールアドレスが登録されていました。

(中略)

7090ポイントあったマイクロソフトポイントの残高が10になっていました。やられた !

購入履歴を見ると、昨日1日でFIFA12のDLCを7080ポイント分まとめ買いされたようです。もちろん、私が買ったものではありません。FIFA12自体持ってないし。

Xbox Liveアカウントを不正利用されました (3) MSサポートとのやりとり

不正利用について調査を開始するとのことで、
「第三者による不正使用だと判明したらMSPは返還する」
「調査中、アカウントはロックされるので、その間Xbox Liveに接続できなくなる(オンラインプレイができなくなる、オフラインではプレイできる。PCからは接続・利用できる)」
「調査期間中のゴールドメンバーシップはその分期限を延長する」
「犯人が判明しても、その詳細情報は個人情報保護のために公開できない」
と、目的・条件・制限等を明確に説明してもらいました。


Xbox LIVEのアカハックの方法が解説されている。
Jasonという人がアカハックされ、自力でその方法を調査したんだとか。

Xbox Live Vulnerability Exposed! Microsoft Ignored The Truth

The first step was to gather the Windows Live ID’s of gamertags. So after a round of Halo Reach, he gathered a list of gamertags and enter them individually on Google. Thanks to Facebook, Twitter, or any other links that have their email advertised, hackers now have a potential list of Windows Live ID’s. Now the hackers check to see if the email is a valid Windows Live ID. To do this, hackers headed to Xbox.com Typing in the email and a random password like blah.

If the hacker got the error message “account is invalid” they move on to another email.

When the hacker comes across the error message “password is wrong” then that account is in trouble.

Now with a simple script, hackers can brute force their way into your Xbox Live account. The script would batch run a list of potential password, which anybody can find online with a simple Google search. The script will attempt to enter these potential passwords until it gets in. Xbox allows you to enter your password incorrectly 8 times on the website, then it asks for a CAPTCHA code. When hackers get to that CAPTCHA code, there is a link for “try with another Live ID”. Clicking this link resets the CAPTCHA code and hackers can continue to force their way in 8 more times before they need to click the link again.

  1. まずHalo reachを遊んで実際のゲーマータグを収集。
  2. そのゲーマータグをFacebookやTwitterで検索。
  3. ヒットしたFacebookやTwitterアカウントのメールアドレスを収集。
  4. そのメールアドレスをXbox LIVEログインフォームに入れ、適当なパスワードを入れて送信。
    もし使われていないメールアドレスなら「account is invalid」と表示される。
    使われているアドレスの場合「password is wrong」と表示されるので、区別がつく。
  5. 実在するアカウントとわかったら、「potential passwords」を入力するスクリプトで何度もログインを試す。
    8回ログインできないと「画像認証」を求められるようになるが、「try with another Live ID」というリンクをクリックすると、画像認証の無いフォームに戻り、同じIDを再び8回入力可能となる。

これら一連のプロセスを自動化するスクリプトで、アカハックしていると推測している。


画像認証を20回までに制限したそうで。

Xbox Live fraud: Xbox.com security secretly tightened – report

I’m still able to use the link to get past the CAPTCHA, they handle the sign-in request on the server in a way that it will stop replying after about 20 attempts.

今までは無制限だったそうな。

にほんブログ村 ゲームブログ ゲーム攻略・裏技へ
にほんブログ村 このエントリーをはてなブックマークに追加 管理人へのお問い合わせ

Amazonこれから開催予定の数量限定タイムセール
PlayStationストア セール&キャンペーン情報
PlayStation VR PlayStation Camera 同梱版+PlayStation VR WORLDS (VR専用)

【PS4】The Last of Us Part II【早期購入特典】ゲーム内アイテム ・「装弾数増加」 ・「工作サバイバルガイド」(封入)【2020年5月29日】
仁王2 (早期購入特典(「太初の侍の鎧一式」ダウンロードシリアル) 同梱)【2020年3月12日】
ファイナルファンタジーVII リメイク - PS4【2020年3月3日】
新サクラ大戦【初回特典】「新サクラ大戦」メインビジュアル&主題歌 PS4用テーマ 同梱 - PS4【2019年12月12日】
【PS4】DEATH STRANDING【早期購入特典】アバター(ねんどろいどルーデンス)/PlayStation4ダイナミックテーマ/ゲーム内アイテム(封入)【2019年11月8日】
モンスターハンターワールド:アイスボーン マスターエディション (【予約特典】防具「ユクモノ」シリーズ(重ね着装備)」 が手に入るプロダクトコード 同梱) - PS4【2019年9月6日】
一人用SF人狼ゲーム『グノーシア』【2019年6月20日】
SEKIRO: SHADOWS DIE TWICE (【予約特典】特別仕様パッケージ・デジタルアートワーク&ミニサウンドトラック(オンラインコード) 同梱)【2019年3月23日】
【PS4】Déraciné (VR専用) 【早期購入特典】「PlayStation 4用テーマ」がダウンロード可能なコードチラシ (封入)【2018年11月8日】
ドラゴンズクラウン・プロ 【先着購入特典】DLCデジタルゲームブック「悪霊島の秘宝」 同梱【2018年2月8日】
Kingdom Come: Deliverance【2018年2月13日】
【PS4】巨影都市【2017年10月19日】
スティクス:シャーズ・オブ・ダークネス 【CEROレーティング「Z」】【2017年12月14日】
Horizon: Zero Dawn (PS4)【2017年3月4日】

このページの先頭へ