小6息子くんRobloxで乗っ取り被害にあいゲーム内通貨を奪われ、返してもらうまでのいきさつ - カワリモノ息子とその母の技術メモ的な〜

衝撃のタイトルでございます！ 先日、息子くんRobloxで乗っ取り被害にあっていた模様。 ゲーム内通貨であるRobux（ロバックス）をありったけ持っていかれました。。 でも、息子くん自力でカスタマーサポートと交渉し無事に取り返すことが出来ました！ 良かったねー！ その経緯について書こうと思います。 ロバックスについて ロブロックスにログインすると、右上の端の方に設定の歯車アイコンがあるんですがその隣に出ている数字が、今持っているゲーム内通貨ロバックスの額。 ↓ これは私がログインした画面。課金も何もしていないので「0」と表示されています。 息子くんのアカウントは年間会費払って「ビルダーズクラブ」というものに加入しているので定期的に月1回ロバックスが貰えてるんです。 （ビルダーズクラブって言葉、何度聞いてもマッチョマンの集団思い浮かべてプッてなるんですけどーw） ビルダーズクラブの特典はほか

[ksk_uchimura]

小 6 で英語でサポートと対話・問題解決し、はては cookie からセッション id 抜いて別のブラウザ使ってログインの検証もしてるなんて。。。IT リテラシ高すぎて日本の教育課程をこなすの苦労しそう。。

[h5y1m141]

自力で交渉する行動力凄いなぁ。ちなみにサポートから返信の記載ではChrome拡張で信頼できないやつが入ってるとそいつが情報を盗み出すので、このサービス自体がセキュアーではないっていうのはちょっと誤解かなと

[kyax]

トンビが鷹を生んでるやんけ

[bungoume]

Cookieのセッション情報を抜かれたらニ要素認証などしてても意味ない。ここはCookieにHTTP Only属性があれば良かった

[fukken]

追記も残念だなぁ。セッションクッキー盗まれたら二段階認証あっても無駄。ドアに鍵をいくつ付けようとワープで入られたら意味ない。リスト攻撃かクッキー窃視かでユーザーの取るべき対策は全然違うので不安しかない

[karaage]

戻ってきて良かったです。セキュリティは自分も気をつけないとな

[NetPenguin]

cookie盗まれても大丈夫なように……って、なかなか難しいのかと。端末情報やIPアドレスと組み合わせてとか、同時に2箇所から（あるいは短い時間差で2箇所から）使われたらはじくとか？

[ku__ra__ge]

セッションIDについて突っ込もうかと思ったら訂正されていた。良い記事だ。

[sin20xx]

"私これでもWEBシステム開発者なんですけど…いつも誰かが作ったセッション管理のベースの上での作業しかしてないので深くまで知らなかったです。バカチンですね～。"ちょっと意味がわからない。誰か通訳して欲しい。

[meganenoki]

息子くんすごい！

[SuikaKun]

僕も今日無料ロブックというものに釣られてアカウント自体乗っ取られてしまいました…そういう時はどうすればいいんでしょうか?

[kemononeko]

クッキー盗まれたらどうしようもないよなあ

[uefi]

こういうセキュリティインシデントを自分で経験すると、別のことでも用心するようになりますよね。僕もやらかしたことは何度かある（何度か！）のですが、うーんｗ　なにはともあれ、戻ってきてよかったですね。

[wdoomer]

息子くんすごい！

[kazuya53]

小学生なのに英語で交渉するばかりか、ブラウザのセッション情報とかまで理解してるってどういうことなんw

[ttkazuma]

息子すげーな（小6なんて鼻水たらしてｶｾｯﾄﾌｰﾌｰしながらｷｬｯｷｬしてた記憶しかない

[Nobeee]

優秀だなーー 学校行くより、返って今のままで良いのでは？とか思ってしまった。

[monbobori]

天才児

[KIKUKO]

自分で対応してるのほんとすごい

[akulog]

ずごいやん

[Helfard]

何でそこまでできる人間が二段階認証をしてないのか。

[iasna]

ねぇなんであらかじめセキュアな方法があるのにそれをやられた後にするわけ？？？だいぶアホすぎますよね？？？

[Snail]

ラクマでほぼ同じ乗っ取り手口でクレジットやポイントを使われたが、問い合わせても対応してくれず梨の礫で、結局何もしてくれてない。はっきり言う、楽天はクソ、もう絶対に利用しない。何度も言う楽天はクソ。

[NOV1975]

謎のセキュリティ評価

[quietplace_1]

Cookie関係は結構難しいですよね...