はじめに：自動化されたクレデンシャルスタッフィングの脅威
Steam、Epic Games、Riot Games、Battle.netなどのゲームアカウントが見知らぬ海外のIPアドレスから不正ログインされた際、多くのプレイヤーは「ゲーム会社から情報が漏洩したのではないか」「自分のPCがウイルスに感染したのではないか」と疑います。しかし、実際の不正アクセスの大半はプラットフォームの脆弱性でもマルウェアでもなく、「クレデンシャルスタッフィング（リスト型アカウントハッキング）」と呼ばれる自動化攻撃によって引き起こされています。
クレデンシャルスタッフィングは、人間の「パスワードの使い回し」という心理的・行動的な弱点を執拗に突くサイバー攻撃です。攻撃者はゲームサーバーに対して力任せの総当たり（ブルートフォース）攻撃を仕掛けるのではなく、過去に無関係な第三者サービス（フィットネスアプリ、小規模な掲示板、昔のECサイトなど）から流出した膨大なID・パスワードの組み合わせを収集し、自動化プログラムを用いて主要なゲームプラットフォームへ一斉に流し込み照合を試みます。
コンボリストと自動化攻撃パイプラインの解剖学
盗難アカウントを売買するサイバー犯罪シンジケートは、極めて高度に工業化された攻撃パイプラインを構築しています。
- コンボリスト（Combo Lists）とデータ集約：過去の漏洩データベースを「ユーザー名:パスワード」または「メールアドレス:パスワード」の形式に整形したテキストファイルを「コンボリスト」と呼びます。一般的なインターネットユーザーは同一のパスワードを平均5〜10個の異なるサービスで使い回しているため、数年前に漏洩した無名サイトのパスワードが、現在の主要なゲームアカウントを解錠する鍵となってしまいます。
- 住宅用プロキシプール（Residential Proxy Pools）：ゲームプラットフォームは、短時間に連続してログインに失敗したIPアドレスを遮断するレート制限（Rate Limiting）を設けています。攻撃者はこの防御網を突破するため、マルウェア等に感染した一般家庭のIoT機器やPCで構成される数十万単位の「住宅用プロキシ」を経由してアクセスを分散させます。これにより、すべての試行が一般家庭からの正規アクセスに見せかけられます。
- ヘッドレスブラウザと自動チェッカー（Account Checkers）：攻撃者は「OpenBullet」などの専用ツールやヘッドレスブラウザを用い、CAPTCHAの自動突破、暗号化処理、認証通信をミリ秒単位で実行します。ログインに成功したアカウント（Hit）のみが自動的に抽出され、即座にリスト化されます。
不正取得アカウントの換金エコシステム
チェッカーによって有効なアカウントが特定されると、即座に資産の現金化プロセスへと移行します。
- インベントリの自動スクレイピング：ボットはプラットフォーム内部のAPIを叩き、アカウント内に存在する資産価値を即時にスキャンします。『Counter-Strike 2』の高額スキン、『フォートナイト』の限定コスチューム、『VALORANT』のランク、Steamウォレットの残高、登録済みのクレジットカード情報などが瞬時に評価されます。
- アカウントの乗っ取りと登録情報の改ざん：二要素認証（2FA）が設定されていない場合、ボットは即座に登録メールアドレスとパスワードを変更し、正当な所有者を締め出します。
- アンダーグラウンド市場での転売と資産洗浄：乗っ取られたアカウントは、地下マーケットプレイスにて資産規模に応じた価格で即座に転売されます。取引可能なアイテムが存在する場合、自動化されたトレードボット網を経由して複数の使い捨てアカウントを転々とさせ、追跡を完全に遮断した上で現金化されます。
ブルートフォースの誤解と複雑なパスワードの限界
「記号や数字を混ぜた複雑なパスワードを設定しているから安全だ」という過信は、クレデンシャルスタッフィングの前では無力です。
- 平文漏洩の前では複雑性も無意味：過去に利用したセキュリティの甘いサービスがパスワードを平文（暗号化されていない状態）や脆弱なハッシュ形式で保存していた場合、攻撃者が手に入れているのは「完全な正解の文字列」です。正規のパスワードをそのまま入力してログインを試みるため、どれほど複雑であっても一撃で突破されます。
- 微小な文字列変更の無効性：『Password2024!』を『Password2025!』に変更するような安易なバリエーション付けは、現代のチェッカーに組み込まれた自動変異ルール（Mutation Rules）によって即座に予測・自動検証され、容易に破られます。
多層防御：クレデンシャルスタッフィングを遮断する対策
アカウント乗っ取りの脅威を根本から断つには、ゼロトラストの原則に基づくセキュリティ管理への移行が不可欠です。
- パスワードの完全な個別独立化：すべてのゲームランチャー、プラットフォーム、関連するメールアドレスに対して、パスワードマネージャー（Bitwardenや1Passwordなど）で生成した暗号学的に安全なランダムパスワードを個別に割り当てます。1つのサービスが漏洩しても、他のアカウントへ被害が波及することを物理的に防ぎます。
- フィッシング耐性のある多要素認証（MFA）の導入：傍受やSIMスワップ攻撃に弱いSMS認証ではなく、Steamガードモバイル認証、Blizzard Authenticator、あるいは標準的なTOTP認証アプリやFIDO2ハードウェアキーを必ず有効化します。
- セッションの強制切断とデバイスの除外：不審なログイン通知を受け取った際は、パスワード変更と同時に、アカウント管理画面から「他のすべてのデバイスの認証を解除（Deauthorize All Devices）」を実行してください。これを行わないと、攻撃者側の既存セッションが維持され、不正操作が継続される危険があります。
判断基準マトリクス：不審なログイン兆候の診断と緊急対応
アカウントに不審な挙動が見られた際は、以下の手順に従って対処してください。
| 発生したインシデント | 技術的な原因 | 即座に講ずべき緊急処置 | 恒久的な予防策 |
|---|---|---|---|
| 身に覚えのない2FA承認通知が届く | 攻撃者がリスト流出データからパスワードの照合に成功した | 承認を拒否し、直ちにパスワードを一意のランダム文字列に変更 | HaveIBeenPwnedで漏洩元を特定し、同じパスワードを全廃 |
| 海外からのログイン成功通知メールが届く | 住宅用プロキシを経由して正しいパスワードで突破された | メール内の保護リンクを開き、全端末のセッションを強制切断 | アプリ形式の強固な二要素認証を設定し、外部連携を解除 |
| パスワードが変更されログインできない | ボットがアカウント設定を書き換え、メールアドレスを奪われた | 初回購入のCDキーや決済明細を用意し、公式サポートへ復旧申請 | 最も重要な登録メールアドレス自体のセキュリティを最優先で強化 |
| 復帰後にゲーム内で身に覚えのないBANを受ける | 休眠中にアカウントが乗っ取られ、チート業者に不正利用された | 不正アクセスのIPログをサポートに提示してアカウント停止の異議申し立て | ゲーム関連のファンサイトや大会登録でメインパスワードを使わない |
デジタルプラットフォームのセキュリティ体制を比較検討する際や、個人のゲームライブラリを保護する際には、365Findsが提供する体系的なセキュリティ分析を参照することで、実効性の高い多層防御を構築できます。「パスワードの使い回しを完全に排除し、多要素認証を徹底する」という基本原則こそが、大切なゲームデータとデジタル資産を守るための最強の盾となります。