最近の報告によると、クラッシュ・オブ・クランなどの人気のあるスマートフォンのゲームが、数十万ドル相当の盗難クレジットカードの資金洗浄に悪用されていることが明らかになりました。
6月中旬に、Kromtech Security社のリサーチャー達が、保護されていない「とあるMongoDBデータベース」のセキュリティ監査を行った際に、資金洗浄の事実を発見した経緯をこちらで説明しています。
パスワード不要で、誰でも自由にアクセス可能なこのデータベースには、数千件ものクレジットカード情報が記録されていました。しかし、リサーチャー達はすぐに、これらのデータは、顧客データの扱いがずさんな企業のものではなく、（Carderとして知られる）クレジットカード窃盗犯のものなのではないかと考えました。
この窃盗グループは、クレジットカードアカウントから盗んだ金を、モバイルゲームを悪用して洗浄しようと企んでいました。
人気のあるスマートフォンゲームを利用したことがある人ならご存知のように、ゲーム内通貨には大きな需要があります。プレーヤーの多くは、ゲームを先に進めることに夢中になり、無料プレイでは機能が使えるようになるまでに長い間待たなければならないことに苛立ちを募らせています。そのため、一部のプレーヤーは、非公式のショートカットを見つけてゲームを進めようとしました。
セキュリティリサーチャー達は、盗んだカード情報を使用して偽のApple IDを自動的に作成するメカニズムを作り上げた「Carder」のメンバーらと一部のプレーヤーが取引を行い、仮想の「金」や「宝石」、あるいはゲーム内で使用するパワーアップアイテムを購入していたことに気づきました。
それらの仮想アイテムは、その後G2Gなどの再販市場で他のプレーヤーに売られるのでしょう。つまり、ギャングらは盗まれたクレジットカードデータとの関係を晒すことなく、ゲーム内通貨やパワーアップアイテムと引き換えに、金銭を受け取っていたのです。
このケースでは、詐欺師らは「クラッシュ・オブ・クラン」や「クラッシュ・ロワイヤル」、あるいはカバムの「MARVELオールスターバトル」という人気の高いゲームを標的にしていました。この3タイトルだけで、ユーザー数はのべ2億5000万人を超え、年間収入は約3億3000万ドルに達すると、Kromtech社は報告しています。
犯罪者らがこれらのゲームの圧倒的な人気と、それらが稼ぎ出す多額の金に魅せられて罪を犯したことは明らかです。
「クラッシュ・オブ・クラン」「クラッシュ・ロワイヤル」のパブリッシャーであるSupercell社は、非公認のサードパーティサイトから、安い宝石やダイヤモンドを騙されて買うことがないようにと警告しています。それにより、騙されたプレーヤーのアカウントが永久に使えなくなるばかりか、Apple IDやGoogle Playアカウントが犯罪者に乗っ取られる危険性もあります。
不正な宝石の売買について
一部のWebサイトや個人から安い宝石/ダイヤモンドの購入を持ち掛けられることがあります。しかし、騙されないでください。それは詐欺です。
この手のサービスでは、あなたのゲームアカウントにアクセスするために、個人のログインデータ（Apple ID、Google Playのユーザー情報など）の提供を求めてきます。このような詐欺師らは、騙されたプレーヤーのアカウントにアクセスした後で、それを乗っ取り、別のプレーヤーに売り飛ばそうとします。
重要：あなたの個人情報が第三者に知られると、あなたのゲーム、金融、オンラインのセキュリティが非常に危険な状態に置かれることになります。
注意を怠ると：ゲームの提供会社以外から宝石やダイヤモンドを購入すると、アプリ内通貨が無効になったり、あなたのアカウントが永久に使えなくなったりする場合があります。
リサーチャー達は、犯罪者組織がモバイルゲーム経由で資金洗浄を行うのを阻止するために、対策を強化すべきだと訴えています。また、Apple IDアカウントの登録の際には、クレジットカードの詳細、名前、住所を確認する手順をより厳格にすべきとも主張しています。さらに、サービスプロバイダーは、自動化ツールがアカウント作成プロセスを悪用しないように、保護機能を強化することが求められます。そして、Appleとゲーム開発会社の双方が、ポリシーの徹底と犯罪者らの追跡により一層努めることも要求されます。
もちろん、資金洗浄を企てた犯人らが、不注意にもクレジットカードの詳細データを公共のインターネット上に置かなければ、この犯罪が世に知られることはなかったでしょう。
