10歳の息子がRobloxを始めた矢先、ゲーム内通貨Robuxがすべて消えていることに気づく。何があったのか聞くと、最近YouTubeでリンクをフォローすれば追加のRobuxがもらえると言われたという。そのサイトのリンクでサインオンすると、いつものようにRobloxサイトに飛ばされたが、追加通貨の気配はなかった。彼は、Robloxユーザー——その多くが子供——のログイン情報を狙った詐欺の犠牲者になったのだ。その情報があれば、犯罪者は仮想通貨とプレイヤーの個人データを盗むことができる。

Roblox内では、プレイヤーはRobuxを使ってアバターのスキンやアニメーションなどの仮想アイテムを購入する。通貨はゲーム内で稼ぐこともできるが、購入も可能だ。Robloxのオンラインストアでは、最大199.99ポンドのパッケージを購入できる。ダークウェブで購入した既製のキットを使い、詐欺師は正規のRobloxサイトと外見が同一の偽ログインページを作成する。

「子供は詳細を入力し、偽のウェブサイトは実際に正規のRobloxページにリダイレクトします」と、サイバーセキュリティ企業NordVPNのグローバルアフェアーズ担当副社長、ジェラルド・カスリス氏は言う。「つまり、最終的に子供は行きたい場所にたどり着くのです。」しかしその段階で、犯罪者は詐欺に必要な情報を手に入れている。

NordVPNの研究者によると、7日間でRobloxユーザーを騙すためのツールを提供する既製のフィッシングページを販売する約200のアドレスを発見した。フィッシングサイトへのリンクは、YouTubeやTikTokの動画のコメント、またはゲーマー向けチャットアプリDiscordのチャットにあることが多い。メッセージには、提供されたリンクをクリックすれば無料のRobuxが手に入ると書かれているかもしれない。多くの詐欺と同様に、被害者が結果をよく考えずに行動するよう促すため、オファーが数時間だけ有効であるなど、緊急性の要素がしばしば付きまとう。

そのリンクから、子供はおそらく正規のRobloxサイトと外見が同一の偽サインインページに導かれる。アドレスには通常、Robloxという名前、例えば「Roblox-verify」や「login-Roblox」が含まれる。詐欺サイト上で、子供はユーザー名とパスワードを求められるが、二要素認証コードの入力も指示されるかもしれないとNordVPNは言う。しかしその後、子供は通常通りゲームをプレイできるよう正規のRobloxサイトに連れて行かれ、何か問題があるという兆候はほとんど残らない。ログイン情報を手に入れた詐欺師は、それを売り飛ばしたり、別のアカウントにRobuxを送金するために使用するかもしれない。

「最も簡単な習慣の一つは、子供たちに、送られてきたリンクからログインするのではなく、公式アプリまたはウェブサイトから直接Robloxを開くように促すことです」とNordVPNの最高技術責任者、マリユス・ブリーディス氏は言う。「二要素認証は依然として重要な保護手段ですが、認証コードとバックアップコードはパスワードと同様に扱い、決して他人に渡してはいけません。」

もしあなたのプレイヤーがハッカーにRobuxを盗まれたなら、取り戻せる可能性は低いようだ。Robloxは、法律で義務付けられていない限り、アカウントが侵害された人を支援する「義務はない」と述べている。「Robloxは、個人のアカウントが以前の状態に復元されること、またはRobloxが失われた仮想アイテムや仮想通貨を回復できることを保証しません」と同社は言う。「ごく限られた状況」では、失われたアイテムまたはその価値を回復する可能性があるとRobloxは述べている。

Robloxの広報担当者は、二要素認証や犯罪者が他の場所からあなたのアカウントにログインするのを防ぐ機能など、フィッシングを防ぐためのセキュリティ対策が講じられていると述べている。「私たちはアカウント盗難のリスクを最小限に抑える新しい方法に取り組み続けており、Robloxユーザーに、未知の送信者やウェブサイトからのリンクをクリックしたり、何かをダウンロードしたりしないなど、セキュリティのベストプラクティスに従うことを積極的に推奨しています」と広報担当者は付け加えた。