Re: [閒聊] 實況主130萬帳號引繼失敗控官方擺爛

[lunaoath (lunaoath)]

先來看個Twitter上的盜帳流程說明
https://twitter.com/atrk_0731_fgo/status/1155778425715511296

乗っ取りの手順って
1,垢の本来の持ち主を装ってFGO運営へ垢復活の申請を出す
2,FGO運営審査時間中(6時間～半日)本来の持ち主がログインしない
3,乗っ取り犯へ引き継ぎコード発行される
4,本来の持ち主に↓の画像が出る

    盜帳號的流程
    1.犯人偽裝帳號所有者向官方提出帳號復歸的申請
    2.營運確認一段時間內(6~12小時)帳號所有者沒有登入的狀況
    3.營運向犯人發送新的引繼碼
    4.帳號所有者登入遊戲時就會看到帳號ID已被他人引繼




再來看看另外兩則與盜帳相關的推文
https://twitter.com/9xmiFs/status/1064799327648808960
https://twitter.com/super777k/status/740557260145885184

其中一則下方回推可以看到來自官方的罐頭回信:
https://twitter.com/purupurupurux12/status/1065128406872805376/photo/1
詳細なアカウント情報をお客様よりご提示いただきましても当該アカウントを現在利用
している方がいる限り、ご提示いただいた情報をもって、アカウント所持者ご本人様で
あるという判断はできかねます。

なお、現在アカウントを不正乗っ取られる事象は確認されておらず、ご自身でアカウン
ト情報を第三者に公開されない限り、アカウントの乗っ取りは発生いたしません。

   即便您提供詳細的帳號情報。只要目前此帳號有在使用中，便會判定為無法通過
   提供的資訊判斷您是否是帳號持有者。

   此外，目前無法判斷此帳號是被藉由不正手段所盜用，除非您本人將帳號情報公
   開給第三者，否則不會發生帳號被盜用的情況。




今天事主的狀況是在實況中不小心外洩引繼碼，
由上面的盜帳流程步驟2可以得知盜帳號者應非藉由官方管道取得引繼用資料，
故推測事主設定的密碼遭到破解。

基本上官方無法判斷你有沒有透過代儲進行消費(FGO的帳號資料並沒有辦法判斷帳號所有
人與消費的google play/appstore持有者，或是推文很愛的信用卡持有者是否為同一人)，
也沒有辦法判斷你的帳號是不是自願轉讓給第三者使用後反悔要求帳號存取權。

所以在盜用者有持續登入這個帳號的狀況下，再怎麼跟DW反應有87%機率只會得到這答案。


那在這種情況下還有甚麼能做的呢？

以日本本地來說的話，可以透過警察的網路犯罪相關部門
https://www.npa.go.jp/cybersafety/Virus/virus2.html
不正アクセスの被害が生じた場合には、最寄りの警察署又は都道府県警察サイバー犯罪
相談窓口に相談してください。
http://www.npa.go.jp/cyber/soudan.htm
這是日本各地的相關相談窗口資訊



引用我所在區域的網頁對於遊戲被盜相關說明

  ゲーム会社に事実確認を行いシステム上のトラブルがなく、利用していない時間帯に
アクセスされた事実があれば、不正アクセス禁止法違反の可能性があります（但し、Ｉ
Ｄ・パスワードを他人に教えてしまっているなどの場合には、該当しない場合もありま
す）
  不正アクセス禁止法違反の可能性がある場合には、最寄りの警察署に相談してくださ
い（アイテムなどを元に戻すことを望むならば、ゲーム会社に相談してください）
※　不正アクセス禁止法違反では、被害者はサーバの管理者となるため、ゲームの利用
者から被害届を受けることはできません

    如果您與遊戲公司確認在系統沒有異常的情況下，有在您利用時間外的登入行為，
    盜用者有可能觸犯日本的不正アクセス禁止法。(但若您有向他人提供ID及密碼的
    情況，則可能不適用此狀況。)

    在有違反不正アクセス禁止法可能的情形發生時，請前往您最近的警察局洽談。
    (道具、帳號復歸等部分，請與遊戲公司洽談。)

    ※不正アクセス禁止法的被害者為伺服器管理者(遊戲公司)，並非遊戲使用者。



或著您也可以向從事法律業務的事務所詢問相關的處理流程。
但從上方內文可以看出，到底有沒有被盜帳號的判斷，以及是否能夠取回帳號，
還是有很大部分的決定權在遊戲公司身上。

至於這次的實況主以及觀眾應該都不是在日本境內，
很抱歉我不是很了解跨國電磁資料犯罪的處理程序，
因此實際上要走法律途徑怎麼處理還請真法律大腿補充。

實況代抽使用他人帳號，或是其他行為是有否違反遊戲章程的部分就不討論了。
今天遊戲公司的處理方式以及FGO本身的帳號保護機制，確實有值得改進或檢討的地方，
但最重要的還是玩家自己要保護好自己的帳號隱私。

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 131.112.182.122 (日本)
※ 文章網址: https://www.ptt.cc/bbs/FATE_GO/M.1573576960.A.2AB.html
※ 編輯: lunaoath (131.112.182.122 日本), 11/13/2019 00:43:57
推 u067: 實在不知道盜帳有什麼好玩的
推 j0928875963: 推認真回文！
推 buyao531: 推認真解說
推 KiSeigi: 以前不能交易的遊戲 也有人盜帳號後把東西賣光丟光也爽
推 srock: 如果你手機放桌上,然後有人拿起你手機發現你有玩FGO
推 kenApp: 中國常有帳號被盜拿去賣
→ srock: 之後偷偷引繼走的話這樣要怎麼算...
推 lovetianma: 這個有在使用就不算遺失的規定，感覺有一個漏洞就是
→ lovetianma: 手機被偷，結果小偷剛好也是玩家，順便把你遊戲也一起
→ lovetianma: 玩了，雪上加霜的感覺QQ
→ l6321899: 算持有者自己的疏失阿，沒顧好自己的帳號
→ l6321899: 除非官方自己洩漏，不然任何第三者盜走都算你保管不周吧
→ l6321899: FGO好像還沒出現過官方把玩家資料洩漏出去的例子...?
→ KiSeigi: 如果有人偷拿你手機去取得引繼碼 那應該是報警?
推 JohnShao: 引繼碼都是一次性拋棄，基本上很難洩漏吧
→ KiSeigi: 至於遊戲內的賠償 可能是之後警察抓到人走民事?
推 marchcharlie: 手機被偷就報警吧
推 JohnShao: 有人偷拿手機就竊盜罪，這也是國外常常吐槽台灣太安全
→ JohnShao: 的地方，一般來說重要物品出了家門就不能離開視線才對
→ marchcharlie: 然後再去找官方處理之類的吧
→ charlietk3: 就純粹的惡意，有些人做壞事不需要理由
→ lunaoath: 關於帳號取回的部分洽詢消費者廳或消保官比較合適
推 ravin2235: 五樓你說這個？https://reurl.cc/5gRoXV
推 j64002156: 我只想問 申請退款不就好了 最少錢要拿回來
推 leffyiscome: 哈哈哈演習沒打到哈哈哈
→ leffyiscome: 乾不過居然是這麼認真的文...
推 WoodPunch: 推知識
噓 VividAria: 紅明顯,純噓那些自己不知道立場站在哪的人帳號搞丟???
→ VividAria: FGO也做很大了,官方光每天處理就飽了吧
推 methodho: 怕這樣就飽還不設計更好的機制嗎？引繼碼真心爛
→ lofo: 我想知道什麼是更好的機制???
推 whhw: 完美的防呆機制
推 hy1221: 引繼碼比你綁那些社群帳號還安全的多 好嗎 一堆沒資安觀
→ hy1221: 念的一帳通用
→ whhw:               可惜不存在，因為愚蠢沒有下限
→ Flyroach: 130W日幣，如果他真的退款拿的回來，還是去升級一下自己
→ Flyroach: 電腦設備吧，錢都砸在FGO上結果沒錢升級更重要的東西
→ lunaoath: 只有一重的一次性驗證跟社群帳號都不怎麼安全
→ srock: 最安全的應該是裝置認證吧,不過很麻煩所以不會有人想要...
推 s07190719: 滴三有出驗證器 我就很喜歡啊
→ s07190719: 如果遊戲都有類似機制我應該都會裝吧
噓 apps9661509: 為什麼那麼多人這麼愛綁SNS???我就不信所有人的FB、I
→ apps9661509: G、twitter等SNS的帳號密碼都不同，綁SNS一但被盜就
→ apps9661509: 整組一連串死光光
推 apps9661509: 補推回來
推 methodho: 那些大廠SNS的防護機制很夠啊, 而且進步的又快, 光設定
→ methodho: 個2FA基本上被抓盜的機率就少超多了
→ theiceking: 一重？不是雙重嗎？還有個密碼是看不到的，引繼碼自己
→ theiceking: 放出去，密碼還被人猜到，怪誰呢？
推 RAPPIRANGAI: 推用心解說
推 is1128: 推二重驗證啦~雖然引繼碼跟密碼其實已經是雙重驗證了
推 lolicone: 推最後一句
→ KILASUKA: 其實這種防護等級已經很高了 被檢討是重課還拿不回來吧
推 methodho: 第二重指的是有個人特徵的，主要是確認「在裝置前的你
→ methodho: 就是你」，不是說有兩種(如引繼碼+密碼)就是。個人特徵
→ methodho: 可延伸到手機，一般簡訊OTP(已證實不安全了)、Google A
→ methodho: uthenticator 都是，甚至運用手機上的指紋或Face ID 辨
→ methodho: 識都可以
推 frusa: 就算是明確自己的疏失，若有方式證明這是自己的帳號也是應
→ frusa: 該要協助處理……
推 frusa: 舉個例 被搶劫，警察抓獲後也是會確認後物歸原主呀
推 lolidaisuki: 叫他報警 他也忽視 繼續帶風向
推 is1128: 香港人報香港警察說日本遊戲帳號遺失，要我是警察也不處理
→ is1128: 更何況無從查起，報警只是造成警察困擾而已
推 marchcharlie: 都違反規章了 不處理也很正常
推 JTFWAHQ: 只要帳號還有上線 大概是很難要回來了
→ JTFWAHQ: 官方很難判定是不是盜帳
推 siegfred: 但是引繼時，要明確認定是本人的話，就不能轉讓帳號了。
→ siegfred: 例如朋友不玩了，我承接繼續玩。會不會這種移轉就無法實
→ siegfred: 行了。
推 methodho: 移轉的當下確認是朋友本人要給你的很正常吧，你接手後
→ methodho: 就換成綁你的特徵就好了
→ methodho: 不斷的設計跟優化引繼流程：有效的降低被盜機率跟玩家
→ methodho: 自己出錯的機率，這絕對是官方的責任
→ lunaoath: 這種簡易的手遊帳號內含資訊都沒有辦法辨識現實使用者
→ methodho: 不論是日還是台版，現在的引繼模式隨便a就一推求助文章
→ methodho: ，就表示都還有更好的進步空間，只是看官方有沒有要做
→ methodho: 而已
→ lunaoath: 就連申請官方回復帳號也是提供些box有誰 打了甚麼關卡
→ lunaoath: 何時課過金等等實況遊玩很容易洩漏的資訊
→ nier98k: 我倒是不太喜歡sns綁定 尤其是fb 我綁定都不會用個人帳號
→ nier98k: 帳號綁 都會另外辦一個分身 結果之前fb政策更改 都要輸入
→ nier98k: 詳細資料審核 沒審核過我帳號就登不進去了.....
→ lofo: 越有辦法辨識現實使用者的方法越會有洩漏個資的問題
→ lofo: 為了一點點的引繼優化效益，讓玩家交出更多個人資訊，不值得
推 methodho: 所以才有oauth2，你的資料是交給你選擇信任的機構，goo
→ methodho: gle, facebook, sign in w/ apple 都是，一般大家講的
→ methodho: sns登入都是 oauth2的實作
推 dsa3717: 越方便 涉入的機構越多 越危險
→ methodho: Client(fgo) 只要相信 oauth2 的 auth server 確認過你
→ methodho: 跟你有授權過的結果就好，根本不用拿到你的個資
→ methodho: oauth2絕非更危險，反而是安全，以日版為例用引繼碼+密
→ methodho: 碼就等於你選擇相信 fgo server端的保護能力，但如果日
→ methodho: 版有提供google登入我還更願意相信google
推 siegfred: 但是，說實話，只要不是實況主，一般玩家是不會洩漏自己
→ siegfred: 的box給別人的，因此不容易被別人偽裝申請走。但雷槍的
→ siegfred: 案例不是這樣，是洩漏引繼碼，帳號被搶奪者猜出密碼，才
→ siegfred: 會被盜。
→ lunaoath: 很多被盜的案例都是在SNS上曬box曬抽卡結果，長久下來被
→ lunaoath: 人當作遊戲歷程去騙官方
→ siegfred: 另外，自己不要常常引繼來引繼去，帳號一直放在同一個裝
→ siegfred: 置，常常登入。被盜帳號或遺失帳號的可能性很低。 如果
→ siegfred: 雷槍買另外一個平板，專門用來代抽，主帳號從來不引繼，
→ siegfred: 那他就不會被盜了。
→ siegfred: 所以不要曬box啊，很危險。頂多曬抽卡結果就好。
推 siegfred: 當然都不要曬最安全，保持低調，就沒人可以趁虛而入。
推 Shichimiya: 有能力課130萬日幣 卻不弄個代抽專用的裝置
→ s60007766: 標準的檢討受害人
推 lolicone: 真的 雖然平常酸營運酸的很爽但這次營運被帶擺爛風向真
→ lolicone: 的是受害者無誤
推 a1113649: 所以為什麼不向現在使用者要求提供資料
推 a1113649: 就算那屬於警方權限也不應該回一句概不負責就結案吧
→ Shichimiya: 哪有營運會主動要求對使用者資料的？
→ Shichimiya: 台灣的遊戲要抓盜帳號兇手也要報警啊 遊戲營運最多也
→ Shichimiya: 只能回溯被盜的損失 不過這個外國人在日本遊戲盜外國
→ Shichimiya: 人 算了吧
→ theiceking: 所以現在營運還要兼有網路警察的職權了嗎
推 whe84311: 營運就算有卡號 要求核對身份銀行也只會叫他吃ㄕ...
→ whe84311: 不對，叫他報警啦
推 a1113649: 差別就在這裡啊，銀行會叫他報警，但營運只說我不負責任
→ a1113649: 喔呵呵
→ Shichimiya: 你又知道了喔wwww
→ lolicone: 報警走法律途徑不是常識嗎？還要人提醒喔？
推 maybejordan: 推