2008-01-25 マビノギ3606万円分ポイント不正使用事件まとめ
マビノギで16歳の少年がサーバーに侵入し，不正アクセス禁止法違反などの疑いで逮捕された事件について、とりあえずあちこちで見た情報をまとめてみました。
- 犯人は福井市の私立高校2年の少年(16)。
- ネクソンの元社員のIDやテストIDなど約100人分のうち、パスワードを解析できた10人分のIDを使用しサーバに不正アクセス。
- 7000ポイントしか持ってないはずの自分のIDを、3606万7000ポイント持っているようにデータを書きかえた。
- 入手した3606万円分のポイントのうち、700万ポイントは約60万円のウェブマネーに換金済み。
- 不正アクセス禁止法違反・電子計算機使用詐欺などの疑いで逮捕。
- ネクソンの説明「10月4日から段階的に13回にわたり不正チャージが行なわれており、確証を得たのは、相当額（3,606万円）の金額がチャージされた10月6日。即日セキュリティ面の対処と調査を開始し、6日の時点でセキュリティの安全が確認され、翌日7日に警察へ届け出た」
- 「悪いことと知っていた」とする一方、「たかがゲームのポイントを増やしただけだろ」と話し、反省した様子はない。
- 「試しにやったら、10分ぐらいでポイントを得ることができた」
- 「エレガントゴシックドレスがほしかった」
エレガントゴシックドレス（画像参考）は3600万円の価値があるわけではありませんが、100ネクソンポイント(100ネクソンポイント=100円)で買える「ランダムボックス」というものから運がよければ手に入るレアアイテムです。
ネクソンの公式発表
このニュースを見た/読んだ普通の人の理解は、たぶんこんな感じ（半分冗談です）。
「高校生の天才ハッカーが運営会社のコンピュータに元社員のふりをして潜入、かわいいドレス（数千万円分の価値？）欲しさにゲーム内の通貨約3600万円分を盗み出した」
実際にはテレビや新聞の報道は間違っているようで、不正に入手したのはゲーム内通貨ではなくネクソンポイント（仮想通貨）。そのポイントでランダムボックス（いわゆるガシャポン、100ポイント=100円）をたくさん購入し、出てきたレアアイテムをゲーム内で売ってゲーム内通貨に換金。
さらにその入手したゲーム内通貨を販売して約60万円分のウェブマネーに換金し、図書券（毎日新聞の記事によると50万円分の図書券）やゲームソフトなどの購入に使った。たぶんこんな感じの事件です。
ネクソンの公式サイトの記事には、
「この事件は弊社サイトのセキュリティを掻い潜って、非常に巧妙な手口で数日に渡り、不正にアクセスを行い、課金決済システムに多額の金額をチャージしたものです」
とあります。でも、本当にそんなに優秀なハッカーによる犯罪だったのでしょうか。
「ポイント購入画面で=500を=10000に書き換えると500円で10000円相当のポイントが買えたっぽい。」
なんていう話もあるようです。urlをちょっといじるだけで3600万円分のポイントを入手できたのだとしたら「セキュリティを掻い潜って」「非常に巧妙な手口」とは言えないでしょうけど…。
そもそも高校生に「試しにやったら、10分ぐらいでポイントを得ることができた」なんて言われて3600万円分のポイントを騙し取られちゃうって…どうなんでしょう。
それに元社員のIDを生かしておくメリットが何かあったのでしょうか。
読売新聞の記事を見ると、
「高度なパソコンの知識が必要で、普通の高校生ではできない」とハイテク犯罪専門の捜査員も驚くほどだったという。
とありました。驚くほど、というのですから相当な技術レベルがあるのかもしれません。
その高度なパソコンの知識の根拠になりそうなのがこれ、
「少年は、中学生のころからホームページを作るなどパソコンに詳しく、」
…ホームページを作ることができるとパソコンに詳しいということになるのでしょう。
「マビノギ」で16歳の少年が3600万円分のポイントを不正使用
この記事によると、犯人の高校生は「他人のID」ではなく「自分のID（登録には住所氏名電話番号などが必要）」の数字を変更したそうで、ここもマスコミの報道が間違っているようです。
自分の名前や住所などの個人情報が入ったIDを使うことが「非常に巧妙な手口」とはとても思えませんし、高校生の言うとおり軽い気持ちで「試しにやったら」うまくいった、というのが本当のところではないでしょうか。
報道をみていると「16歳の少年がネット上で入手できるハッキングツール程度で課金決済システムへ侵入できてしまう」という事実を隠したくて、ずる賢いハッカー少年の犯罪にしようとしているように感じました。
それから産経の記事などを見ると「ネクソンジャパン（東京都品川区）」となっていますが、これはただの間違いでしょうか？
本社の住所は「東京都中央区新川2-3-1」のはずですが。
それともサーバが品川区にあるのでしょうか？
ちなみに毎日新聞の記事だと「警視庁ハイテク犯罪対策総合センターと品川署」が逮捕したことになってます。
関連リンク
「エレガントゴシックドレスが欲しかった」 16歳高校生が仮想通貨3600万円だまし取る
ネクソンのサーバーに不正アクセス、仮想通貨3,606万円入手した少年逮捕
メイプルストーリーの似たような事件
メイプルストーリーに不正アクセス禁止法違反の疑いで16〜19歳の少年4人逮捕
追記: YouTubeでほかの動画もみつけました。
私は山梨に住んでいる者ですが、この事件が公表される前日（１月２３日）の早朝（午前７時ちょうど）にサイバー警察の突然の家宅捜索を受け、パソコン本体３台と液晶のモニタ１台、携帯電話２台を押収されました。
翌日、このニュースをネットで知り、ＮＨＫテレビで放送されたことを知ったのですが、前日、我が家から押収された品々がニュース映像にばっちし写っていたのには驚きました。
この映像の報道の仕方では、これらの品々、まるで逮捕された高校生の所有物のように見えるではありませんか。多分、これらの品々、逮捕された高校生以外の人から押収された物が多いように思えるんです。
報道がインチキとしか思えませんね、これじゃぁ。
あっ、なぜ私の自宅に家宅捜索が入ったのかというと、私の息子（中２）がネクソンの「メープルストーリー」の常連で毎日のようにやっていたのですが、「マビノギ」というゲームは一度もしたことは内装です。
どうもこの逮捕された高校生から警察が息子のハンドルネームを聞き出して、調査してやってきたようですね。
ちなみに、私の息子、９月から１０月にかけ〇〇万円程の現実のお金をメープルストーリーとＲＭＴで稼いでいるのですが、私が見ていた限りただゲームで遊んでポイントを貯めていたようにしか思えず、家宅捜索を受けるような悪いことをしているようには思えず、どうなっているのかいまいちよく理解できていないのですが・・・。
（映像左上のマウスコンピューターのデスクトップパソコン（クァッドコア搭載）と真ん中に２段に積み上げられたヒューレッドパッカードのデスクトップ、左上の２２インチの液晶モニタ、右下の白っぽい携帯ウィルコのＷＳ００７ＳＨ（エス）と２年前に使用をやめたａｕの携帯、マウスコンピュータのマシンを除いて（これは息子がＲＭＴで稼いで購入した）、すべて私が買ったものであり、携帯電話は家族の連絡用に買ったものであり、息子はネットの連中と携帯で話しをしたなんてことは一度もないのに持っていてしまい３ヶ月は返さないと言われて、かなりの迷惑を被っています。
なんか、たかがパソコン経験１年か２年の子供にポイント奪われたとか言って大騒ぎをしているのを見て、このオンラインゲームのシステムはなんというお粗末なのかというのが実感であり、システム側の管理責任がもっと追求されてもいいのではと思っています。
黒いキーボードとゲームコントローラー、これも私の息子の物で、警視庁ハイテク班(サイバー警察)に押収されたもんです。
http://news.tbs.co.jp/20080124/newseye/tbs_newseye3762586.html
私は、押収された品目の書類を持っていて、逮捕された少年の本名も知っているし、メープルストーリー上でのハンドルネームも当然知っていますよ。
http://tetsubin.iza.ne.jp/blog/entry/460481/
たしかにあれじゃどう見ても福井の高校生から押収した物としか思えません。
tetsubinさんの話を抜きにしてもこの事件の報道は間違いやウソだらけですね。マスコミのウソの報道にもうんざりですが、ネクソンのいつものいいかげんな対応やセキュリティの甘さにもがっかりです。
高校生の知識に驚いたとかいう警視庁ハイテク班も、コントローラーやプリンタまで押収して何するつもりなんでしょうね？
「高度なパソコンの知識が必要で、普通の高校生ではできない」とハイテク犯罪専門の捜査員も驚くほどだったという】
ハイテク犯罪専門の捜査員のレベルってそれほど高くないんじゃないかなぁ。だから驚いたのかもしれませんね。それなら納得でしょう。（笑）
報道する内容は警察がつくってくれるし、あとはテレビに流せる映像があればどうでもいいのでしょう。
http://www.mabinogi.jp/5th/3_free.asp?bbs_mode=view&p_thread=143427999&num=143428&bc=16&key=user_name&word=%E3%81%84%E3%81%A7%E3%82%89%E3%81%A3%E3%81%A1%E3%82%87
http://pc11.2ch.net/test/read.cgi/net/1201073439/56-360