アカウントハックから身を守るために
Windowsを使うFF11プレイヤーがプレイオンライン（POL）のアカウントを盗まれないための自衛策を解説します。
2009年4月、スクウェア・エニックスは「セキュリティトークン」の販売を開始しました。これを購入してPOLのログイン時にワンタイムパスワードを用いることで、FF11のキャラクターやプレイオンラインのアカウントを盗まれる（垢ハックされる）可能性は極めて低くなります。WindowsでFF11をプレイするすべての方に導入を強くお勧めします。
ワンタイムパスワードを用いていてもパソコンのセキュリティ強化を怠らないようにしましょう。悪人が狙っているのはPOLのアカウント情報だけではありません。このページを読みながらネット環境をチェックしてみてください。
最低限心がけなければいけないこと
以下の10項目は今すぐに、必ず確認しておきましょう。
1. Windows Update／Microsoft Updateを実行してWindowsやInternet Explorer（IE）を最新の状態にする
- Windows Update／Microsoft UpdateはIEの［ツール］メニュー／［セーフティ］メニューから［Windows Update］を選んで実行できる
- Microsoft Office XP以降をインストールしている場合は、WindowsとともにOfficeのアップデートもできるMicrosoft Updateの実行を推奨
- 2009年6月下旬から、Microsoft Video ActiveXコントロールの脆弱性を攻撃するマルウェアが相次いで発見されている。Windowsのセキュリティ修正プログラムをしっかり適用しておこう
なお、マイクロソフトのサポート期間が終了したWindows 95／98／98SE／Me／NT／2000で動作するパソコンはインターネットに接続すべきではありません。
2. Windowsの自動更新を有効にする
3. Flash Player／Abobe Reader／Javaランタイム／QuickTimeなど、ブラウザのプラグインやアプリケーションソフトを最新版に更新する
ブラウザのプラグインソフトを筆頭に、ネットワークを介してデータの授受を行なうソフトウェアの脆弱性（セキュリティホール）は攻撃の対象になります。これらの攻撃はWebブラウザで悪意あるWebページを開いただけでマルウェアに感染させる危険なものです。
- 2008年5月下旬よりAdobe Flash Playerの脆弱性を悪用した攻撃が増加している。Flash Playerの脆弱性対策ページを参照して、Flash Playerのバージョンチェック・更新を実施してほしい（2010/08/11時点の最新版は10.1.82.76および9.0.280.0）
- 2009年4月ごろからAdobe AcrobatとAdobe Readerの脆弱性を攻撃するマルウェアが感染を広げている。脆弱性を解消した最新のバージョンを利用してほしい
- 2009年後半からSunのJavaランタイム（JRE：Java Runtime Environment）の脆弱性を攻撃するマルウェアが広まっている。最新版にアップデートし、脆弱性が残る古いバージョンをアンインストールしてほしい
- Apple QuickTimeも攻撃対象になることが多い。更新を忘れずに
パソコンにインストールされている主要なソフトが最新版かどうかを調べるには、デンマークのコンピュータセキュリティ調査会社Secuniaが配布しているSecunia Personal Software Inspector（PSI）というツールが便利です。個人の私的利用は無償です。
スキャンを実行する前に、［Settings］タブの［Show Only "Easy-to-Patch" programs］チェックボックスのチェックを外しておくことをお勧めします。週に1回くらいの頻度でスキャンするとよいでしょう。
4. RealPlayerがインストールされていたらアンインストールする
- 2008年3月のPOLアカウントハック騒動では、WindowsやIEの脆弱性のみならず、RealPlayerの脆弱性も悪用された可能性が高い。2008年10月25日現在RealPlayerの最新版はバージョン11.0.5だが、致命的な脆弱性が解消されたという報告がないのでアンインストールを推奨
- Real Alternative 1.75に同梱されるActiveXコントロールにも致命的な脆弱性があるので注意
5. ウイルス対策ソフトをインストールし、定義ファイルを最新版に保つ
ウイルス対策ソフトでマルウェアを駆除してもシステムが安全になったとは言い切れません。ウイルス対策ソフトによる駆除は飽くまで応急処置と心得ましょう。万一感染が発覚したら、早急にハードディスクをフォーマットして、Windowsごとクリーンインストールしてください。
6. ワンタイムパスワードを使わない場合、POLのパスワードをパソコンに保存しない
- アカウントハックを行なうマルウェアのうち、パソコンに保存されたパスワードファイルを盗むタイプによるアカウント窃取を防止できる
- どうしてもパソコンにパスワードを保存したいなら、2008年6月10日のアップデートで実装された、「プレイオンラインビューアのセキュリティ設定」を有効にして、USBメモリなどに暗号キーを保存する
- キーボードやマウスからの入力内容を盗むキーロガー、マウスロガー機能を持つマルウェアやメモリを読み出すマルウェアに対しては上記2つの対策は無力。実際に、メモリ上のデータからパスワードを復元して外部のサイトに送信するものが主流になっている
- ワンタイムパスワードを利用する場合は、POLのパスワードをパソコンに保存する必要がある（スクウェア・エニックスアカウントのパスワードは保存できない）
7. スクウェア・エニックスアカウント／POLのパスワードを推測不可能な長いものにする
- 辞書やWeb検索で見つかるような意味のある単語をパスワードにするのは極めて危険。大文字・小文字・数字を取り混ぜた無意味な文字列をパスワードにする
- 他のオンラインゲームやオンラインサービスで用いているパスワードを使い回さない
- 短いパスワードは総当たり攻撃で破られるので、十分な長さの文字列を使う。スクウェア・エニックスアカウントは最大32文字、POLは最大15文字のパスワードを設定できるが、できるだけ長いパスワードの利用を推奨する
- パスワードは定期的に変更すること
8. IEの設定を変更する
- 画像の拡張子を持つHTMLを表示しないようにする
- ［ツール］メニューから［インターネット オプション］を選び、［セキュリティ］タブで［インターネット］を選択して［レベルのカスタマイズ］ボタンを押す
- 「拡張子ではなく、内容によってファイルを開く」の［無効にする］ラジオボタンを選択
- ［OK］ボタンを押す
- インラインフレームの一部の機能を無効にする（注：効果に疑問）
- インラインフレーム（iframe）そのものが無効になるわけではなく、インラインフレームで開かれたページのJavaScriptも実行されるので単なる気休め。正直、IEの挙動がどう変わるのかわからない謎設定項目
- ［ツール］メニューから［インターネット オプション］を選び、［セキュリティ］タブで［インターネット］を選択して［レベルのカスタマイズ］ボタンを押す
- 「IFRAMEのプログラムとファイルの起動」の［無効にする］ラジオボタンを選択
- ［OK］ボタンを押す
9. ネットカフェなどでFFをプレイしない
- 十分な対策を講じていない環境でPOLにログインするとアカウント情報が盗まれる可能性が高まる
10. POLのログインアカウントを使うサービスを利用しない
- フレンドリスト・アプリケーション、リンクシェルコミュニティなど、POLのログインアカウントでユーザー認証を行なうサービスを利用するとアカウント情報を盗まれる可能性が高まる
- これらのアプリケーションやサービスそのものが危険というわけではない
さらなる安全のために
できれば以下の対策も講じておきましょう。
A. IE以外のWebブラウザをインストールして、なるべくIEを使わない
- Firefoxでも、Operaでも、IEコンポーネントを使わないものの中から好きなものをどうぞ。IEはWindowsやOfficeのアップデート専用と割り切る
- Firefoxを使う場合は、NoScriptという拡張機能をインストールしてインラインフレーム（iframe）を無効にするとよい。そのためには、NoScriptのインストール後にNoScriptのオプションで［Plugins］タブの［<IFRAME>の禁止］チェックボックスにチェックを入れる。関連ソフトウェアを最新バージョンに保つ自信がなければ、JavaやAdobe Flashなどのチェックボックスにもチェックする
- 常に最新版のWebブラウザを使うよう心がけるべし。古いバージョンのFirefoxやOperaより最新版のIEを使うほうがよほどマシ
B. IPフィルタソフトを導入する
- IPフィルタソフトとは、ブラックリストに基づいて特定のIPアドレスを持つホストとの通信を遮断するもの
- PeerBlockというソフトウェアがお勧め。導入・設定方法はリネージュ資料室さんのページが詳しい。
- PeerBlockはメンテナンスが滞っているPeerGuardian2の後を継ぐソフトウェア
C. ブロードバンドルータを導入する
- 現在のところ、POLのアカウント情報を盗むマルウェアからの防御には関係ないが、外部から接続してくる攻撃を遮断できるので、セキュリティ向上のために導入を強く勧める
- ブロードバンドルータの管理者用アカウントには強固なパスワードを設定すること
- UPnP機能を悪用するマルウェアがあるので、できるだけこの機能は無効にする
アカウントハックに遭ってしまったら
FF11公式サイトの「不正アクセス対策」ページに記載されている手順にしたがってスクウェア・エニックスおよび最寄りの警察署に連絡をしてください。