Unauthorized Access／不正アクセスにあった話

発覚

被害にあったのはPlayStation Network (PSN)である。

昨年PCを換装してからはSteamやXBOXで遊ぶことがほとんどになってしまったが、それまではPlayStation5でゲームをしていることの方が多かった。しかしゲーム環境がPC主体になってからはPlayStationを起動することもほとんどない状態が続いていた。

そんなある日のこと。メールボックスを確認するとSonyからあるメールが届いていることに気付いた。

• 件名：サインインID変更のお知らせ

お使いのアカウントのサインインID（Eメールアドレス）が変更されました。
サインインIDの変更にお心当たりがない場合は、以下のウェブサイトからサポートにご連絡ください。

引用はメール本文の一部抜粋となる。要はソニーアカウントに登録しているメールアドレスが変更されたというものである。

Sonyでは、ウェブサービスで使用するアカウントをPlayStationなどグループ会社も含めて「ソニーアカウント」という共通IDに統合している。

元々はSonyの製品をオンラインで購入するのであればソニーストアで専用アカウントを作成して、PlayStationでゲームを遊ぶのであればPSNで専用アカウントを作成して…といった感じでサービスアカウントを個別に作成する必要があった。それを一つの共通アカウントで全てのサービスを利用できるようにしたわけである。

アカウントの統合自体は珍しい話でもなく、一つのアカウントで関連サービスを一通り利用できるようにした方がユーザ側の利便性は上がるし、システム管理者側からしても個人情報を一か所で管理すればよくなるのでセキュリティ管理にかかるコストを削減することができる。私も過去に似たような案件に携わったことがあるくらいにはよくあることである。

先のメールは、そのSonyの共通アカウントである「ソニーアカウント」に使用しているメールアドレスが別のものに変更されたということである。今回に関して言えば全く心当たりのない内容である。

また、このメールアドレスとは異なる別のメールボックスを確認すると以下のようなメールが届いていた。

• 件名：[PlayStation™Network] ウォレットへのチャージ完了のお知らせ
• 件名：オンラインIDを変更しました
• 件名：サインインID変更のお知らせ

一件目のメールはPSNで使用するウォレットに課金がされたというものである。同様の件名のメールは複数届いていた。

コンビニなどで販売されているプリペイドカードを使って、オンラインでゲームソフトを購入する時に使用するやつである。私は普段クレジットカードで直接購入しているので日常的にあまり使うことがない。薄々感じてはいたがこの件名を見た瞬間に「あ、やられた」と明確に被害に合ったことを自覚した。

そして二件目のメール。サインインIDと似た名称でややこしいが、こちらはPSN内で使用する名前のようなものである。メールの本文にはこう書かれていた。

オンラインIDがｘｘｘに変更されました！
オンラインIDの変更を希望されなかった場合、新しいオンラインIDが表示されていない場合、または一部のゲームやアプリケーションにオンラインIDが正しく表示されないなど、オンラインIDの変更に関するその他の問題が見られる場合は、弊社のサポートページをご覧ください。

XXXは伏字である。平たく言うと「りらいと」という私のHNが「田中」へ変更されたようなものである。

三件目は前のメールアドレスでも見たのと同じ内容で、PSNに使用しているメールアドレスが別のメールアドレスへ変更されたというものである。

紛うことなき不正アクセスである。

• 登録していたクレジットカードを使用されている
• 登録していたメールアドレスを変更されている
• PSNで使用していたオンラインIDを変更されている

上の引用では伏せているが変更後のオンラインIDはメールから分かる。PSNでは複数回のオンラインIDを変更するのは有料になっているので、おそらくはメールに書かれた変更後IDのところへ行けば犯人のもとへたどり着くことができる。とりあえずしばきに行くか、みたいな思考が一瞬頭をよぎったが、そんな衝動的な行動よりも優先すべきは不正アクセスへの対応である。

対応

対応2：サポートへ連絡

クレジットカードを停止して金銭的被害が追加発生しないようにしたので、続いてはPlayStationサポートへ連絡する。

サインインIDの変更通知メールにサポートURLが書かれていたのでアクセスする。

PlayStationサポート。大変お困りです

現在のPlayStationのサポートページは上の画像のようにゲームソフトに関する問い合わせやPS本体や周辺機器の修理依頼などカテゴリごとに分かれている。リンクを遷移していくと該当のQ＆Aを確認できる構成になっているわけである。

今回の不正アクセス関連は画面中央にあるカテゴリ別のおおきなボタンからではなく、画面上部の「PlayStationサポート」や「PlayStationステータス」などが書かれた行の右端にある「＞」をクリックした先にある「接続」から「アカウントとログイン」→「サインインIDの問題」からいける「サインインに関するトラブルシューティング」に（たぶん）該当する。ちなみに内容はオンラインアシスタントから問い合わせてくださいとのことなので、今回に関して言えばカテゴリを辿る必要もなくサポートページの右下に表示されているオンラインチャットから問い合わせればよい。

オンラインチャットはBOTなので基本的には自動応答である。定型文の質問に答えていって特別な対応が必要な内容になるとオンラインサポートへ切り替わる仕組みになっているようである。

今回の場合だと以下のような内容を伝えた。

• 不正アクセスの被害にあったと思われること
• クレジットカードの不正利用もされていること
• オンラインIDがXXXへ変更されて、ログインができないこと
• 問合せしている私が本人であること（氏名や生年月日など）

不正アクセスの被害にあっていることが伝わるとオンラインサポートへ切り替えるために本人確認をして、確認が取れるとオンラインサポートが出てくるという流れである。BOTはすぐに返事が返ってくるが、オンラインサポートは人による対応なので反応があるまで少し待つ必要がある。

…。

「エージェントによる対応時間外です。」

おーーーーーーーーーい！！！！

というわけで、PlayStationサポートのエージェントサポート、つまり有人対応は時間が決まっている。「毎日午前10時から午後11時30分まで」ということらしい。今回問い合わせたのは午前9時頃であった。

緊急事態のオンラインサポートなんだから24時間対応してくれよという気持ちもあったが、よくある電話でのメーカー問合せを思えばかなり長い時間対応しているのでオペレーターさんは大変だなぁという気持ち（感情移入）も同時に湧いてしまったのでとても変な感情になった。数秒程度思考がぐるぐると回ったのち、クレジットカードは停止しているので少なくともこれ以上金銭的な被害が出ることはないはずだからと気持ちを落ち着けて、サポート開始時間である午前10時をおとなしく待つことにした。（というか待つしかない）

◇

サポート対応時間内になったので再度オンラインチャットへ先程と同じ内容を伝える。しばしの待ち時間の後、チャットの名前が「オンラインアシスタント」から（たしか）「PlayStationサポート」へ切り替わる。無事にエージェントサポートへ繋げてもらえたようである。良かった。

エージェントサポートからは追加で以下の情報を質問された。

• 新しいサインインID用のメールアドレス
• 変更される前の本来のオンラインID
• 所持しているPlayStation5本体のシリアル番号
• 最後にオンライン購入した商品

オンラインチャットでの本人確認はアカウント本人の情報と一致するかどうかを判断するためだが、エージェントサポートからの本人確認はそれから一歩踏み込んで「本来のアカウント所有者（私）」と「不正アクセスした者（犯人）」を区別するための質問ということだろう。変更前のオンラインIDとか直近の購入履歴とかは不正アクセスした犯人でもオンラインから確認できそうだが、PlayStation5本体のシリアル番号はオンラインでは知り得ないコンソールゲームならではの確認方法と言える。

今回の問い合わせは自宅からだったのでPS5実機もすぐに確認することができたが、もし外出先とか実機がすぐそばにない環境にいたら家に帰るまで一日ソワソワし続けないといけなかったわけである。もしものためにシリアル番号をメモしておくのもアリかもしれない。そんなことするかと言われたらおそらく答えはNoだが。

新しいサインインIDに使用するメールアドレスもちょうどあったのも幸いであった。メールアドレスを用途ごとに細かく分けるのもセキュリティ対策としては有用な手段として挙げられることもあるが、私の場合性格上管理が煩雑になる方のリスクが高いのでそんなに多くメールアドレスを持っていないので、もしちょうど良いアドレスが手元に無かったら詰んでいたかもしれない。

エージェントサポートへ返事を送って反応を待っていると、メールボックスに新たなメールが届いた。

• 件名：オンラインIDが元に戻されました

オンラインIDが(元のID)に変更されました！
オンラインIDの変更を希望されなかった場合、新しいオンラインIDが表示されていない場合、または一部のゲームやアプリケーションにオンラインIDが正しく表示されないなど、オンラインIDの変更に関するその他の問題が見られる場合は、弊社のサポートページをご覧ください。

元に戻った！！！！

きちんと本人であると確認が取れたことへの安堵感と、予想以上に早く元へ戻ったことへの喜びが同時にやってくる。

シリアル番号を伝えたので本人確認は取れるだろうと思っていたとは言え、もし不正アクセスした犯人と区別がつかなかったら一気に手詰まりになってしまうのでやっぱり不安になるというものである。そして、不正アクセスが判明したとしても、まず初手は「IDの停止」だと勝手に予想していたのですぐに元へ戻ったのはちょっと意外であった。不正アクセスかも？→一旦IDを止める→より詳細を確認→やっぱり不正アクセス！→アカウントを元に戻すみたいな流れなんだろうなと想像していた。

そんなことを思っているとエージェントサポートのチャットにも返事が返ってきた。内容的にはこんな感じ。

• サインインIDを変更したからパスワード設定してね。できればパスキーか、せめて二要素認証にはしてね。
• 不正アクセスによるウォレットへのチャージと購入は全てキャンセルしたよ。
• クレジット決済されたお金は基本的に返金されるよ。
• もしクレジット会社の都合などで返金できなくてもウォレットには返金されるよ。

こんな感じで（2回目の）問合せ対応から10分程度で対応が完了した。あっという間の対応だった。

PSNは過去に大規模不正アクセスを受けたこともあったしそもそも普段からサイバー攻撃とか大量に受けていてもおかしくない環境だろうから、今回のような（システム側で防ぎきれない）不正アクセスに対するサポート体制とか復旧手順とかがきちんと確立されているのであろう。言葉でいうのは簡単だがきちんと対応手順を立てるというのは楽な話では決してないのは重々承知しているので有難い話である。

対応3：事後対応

無事にアカウントを取り戻すことが出来たのでめでたしめでたし…と締めくくる前にきちんと元に戻ったことを自分でも確認しておく。

元に戻ったことを確認しておく

1. アカウントの再設定

まずはエージェントサポートの返事にもあったとおり、新しいIDへ再設定してもらった新しいサインインIDの設定をしておく。

今回はパスワードではなくパスキーで認証するように設定する。パスキー認証について簡単に説明すると、ユーザ本人が所有しているパソコンやスマホの認証（生体認証）を利用してサービスの認証を行う方式であり、もしパスワード認証が無効になっていれば認証済みのパソコンやスマホがない限りはログインができない。認証済みのパソコンやスマホを悪用されてしまうと簡単にログインできてしまうので完璧というわけではないが、少なくとも第三者からの総当たり攻撃でのログインは不可能になるのでセキュリティは高いとされている。

実は私のソニーアカウントは元々パスキー設定であった。

じゃあパスキー認証にしても不正アクセスされる時はされるのかという感想になるが、今回の不正アクセスに関してはパスキー認証を破ったというよりはおそらく別の方法で認証されてしまったんじゃないかなと考えている。それについては考察の項目で記載する。

2. 漏洩した可能性のある情報の確認

対応1でも触れたクレジットカード番号を始め、不正アクセスした犯人が参照できたであろう個人情報を確認しておく。

クレジットカード番号は想定通り番号が伏せられており設定確認から確認できるのは下4桁のみ。以前二要素認証用に設定していた電話番号も隠されているので分からない。住所は未登録だったので流出した（可能性が高い）個人情報としては氏名とメールアドレスくらいである。あとはPlayStationのゲームライブラリとかプレイ履歴も見られているかもしれない。

漏洩した情報を悪用されて大変なことになるリスクとしてはまあそれほど高くない方と言える。

3. 不正利用された決済の確認

そして犯人に利用された決済がきちんと差し戻されたかどうかを確認する。

サポートに元へ戻してもらった直後はまだクレジット会社にそもそもの不正利用による決済情報すら反映されていなかったのでどうなっているか分からなかったのだが、時間をおいて改めてクレジット会社の決済履歴を確認したところ、不正利用された決済があることとそれがキャンセルされたことが確認できた。金銭的な被害は一切出さずに済んだわけである。

不正アクセスされたという気分的な問題とかメールアドレスが変わってしまったとかそういうのを除けば、まぁ最低限の被害に留めることが出来たのだろう。

考察

そんなわけで対応は一旦完了したので、次は今回の不正アクセスはどのように受けたのかを考察する。

インターネットを利用する上で不正アクセスに限らずサイバー攻撃を受ける危険性は常にある。完璧に防ぐことは不可能かもしれないが、すくなくとも同じ轍を踏まないようにできることはあるかもしれない。きちんと考察して反省するところは反省して、対応できるところは対応しておくに越したことはないだろう。あとはシステム屋さんの端くれとしての興味本位というのもある。

疑問：犯人はどうやって不正アクセスしたか？

そもそも犯人はどうやって私のPSNアカウントにサインインできたのか？

泥棒に入られたのなら何処から入ったのかを確認するのと同じように、私のアカウントへどこからどうやって入ったのかを考えようという話である。

もし私がシステム管理者の立場であれば何はともあれサーバやネットワーク機器、アプリケーションなどPSNに関連するログを参照して分析する。私に限らず同業者（システム屋さん）であればきっと誰でも同じことをするだろう。ログを確認することで犯人が（システムの仕組み上）正しい認証手順を経てシステムにサインインしてきたのか、或いはシステムのバグなどを利用して正しくない手順でサインインしてきたのかを調べるわけである。

しかし今回の私はただの一ユーザである。当然ログは確認できない。だから犯人がどうやって入ったかという「真実」を知ることはできない。

なのでこれから書く文章はあくまで予想に過ぎないことをご了承ください。今回の考察の目的はあくまで反省と今後の対策なので、それが事実であったかどうかはあまり意味がないのである。

仮説：犯人はパスワード認証でサインインした

おそらく今回の犯人はパスワード認証を利用して不正アクセスしたのではないかと考えている。サイバー攻撃という観点で言うのであればパスワードリスト攻撃或いは総当たり攻撃という言葉が該当するだろう。

そしてその上でソニーアカウントというソニー共通IDとPSNアカウントという個別IDとのID連携の隙間というか、もうちょっと正確に言うならID連携に対する私の思い込みによる不注意というか、そういうところを突かれたんじゃないかなぁと思っている。

そう考えた理由の根拠となったのは以下の2点である。

1. 半年ほど前にソニーアカウントをパスキー認証へ変更した
2. 不正アクセスによる通知が2種類のメールアドレスに届いた

原因：パスキー認証へ変更したという思い込み

私は半年ほど前にソニーアカウントの認証をパスワード認証からパスキー認証へ変更していた。

変更した経緯としては、ソニーアカウントに使用していたメールアドレスを変更しようとした時に元々使用していたパスワードの強度が現在の基準からすると若干低いものだったのでパスワードも変更しておこうと思ったのがきっかけである。そのパスワード変更の際に、ソニーアカウントがパスキー認証も採用していることに気付いた私はどうせ変更するならパスキーにしておこうと思った次第である。

パスキー認証に変更したのならパスキー認証でサインインされたのでは？と考えたくなるだろう。実際私も最初はその可能性を考えた。しかしおそらくその可能性は低い。

パスキー認証はユーザが所有するPCやスマホなどの認証済み端末を利用して認証する方式である。ログインしたいサービスとログインするために必要なデバイスが物理的に離れているので無関係な第三者からの不正アクセスが難しいというものである。逆に言えば認証済み端末を盗難されてしまったり、第三者が端末を利用できる環境だったりすると容易にアクセスされてしまうとも言える。

パスワード認証からパスキー認証へ（引用：ソニー損保）

そういうものなのでパスキー認証にしたから絶対安全だとは言えない部分があるのは事実だが今回そのような認証済端末を悪用されたとは考えにくい。

私がPSNにサインインする可能性があるのは自宅にあるPlayStation本体、或いは私が普段使用しているパソコンやスマホくらいである。

もし認証済端末を利用されたというのであれば、自宅に泥棒などの不審者が侵入したなどが考えられる（私は単身者なので日常的に第三者がPS5を触れる環境にない）が、PS5本体のシリアル番号を伝えてロールバックしてもらっている以上、不正アクセスしていた犯人は私が所有しているPS5とは別の端末を利用していたと考える方が妥当である。

ならばPS5にパスキー認証するにはパソコンなりスマホなりの認証済端末が必要となる。しかし、不正アクセスされた時間帯は自宅にいて認証済端末は手元にある。そもそも認証済端末を不正利用しようとするなら、犯人は予め不正アクセスしようとしているIDが「私」本人と紐づいていなければならない。可能性が０とは言い切れないがまずその可能性は極めて低いだろう。

きちんとパスキー認証が機能しているとしたら不正アクセスされた原因がないというわけである。

では、きちんとパスキー認証が機能していなかったとしたら？

そもそもパスキー認証へ変更したのは共通IDである「ソニーアカウント」の方である。個別IDである「PSNアカウント」の方ではない。統合アカウントができたからと言って元の個別アカウントがすぐに消えるわけではない。統合した後の個別アカウントの情報がどの程度残っているかはシステムごとに異なるだろうが、少なくとも個別アカウントによる認証という機能は消えない。もしその機能まで消えてしまったらまだ統合していないユーザが統合するためのサインインができなくなるからである。

セキュリティを強化しようとしてソニーアカウントをパスキー認証へ変更したが、この時に私はPSNアカウントもパスキー認証に変更されたものだと思い込んでいた。おそらくはこの思い込みが私の不注意であり今回の原因である。

原因と考える根拠：2種類のメールアドレスに届いた不正アクセスの通知

元々PSNアカウントとして使用していたサインインID用のメールアドレスも、統合してパスキー認証へ変更したソニーアカウントのサインインID用のメールアドレスのどちらともサポートに無効にしてもらったので、今となってはその思い込みが正しかったのかどうかを実際にサインインして確かめることはできない。

しかし、おそらくそうだっただろうと考える理由が2種類のメールアドレスに届いていた不正アクセスによる通知メールである。

ウェブシステムの中にはユーザが複数のメールアドレスを登録できるようになっているものがある。メインアドレスと予備用のサブアドレスみたいな感じで、何らかの理由によりメインが使えなくなってもサブで対応できるようにしているわけである。

しかしざっと確認した様子からは現在のソニーアカウントにはそのような機能はない。

そもそもの話として例に挙げたような複数アドレスを登録する仕組みであれば同じ内容のメールが登録した複数のメールアドレスに届くはずである。今回それぞれのメールアドレスに届いていた通知メールは内容が重複していない。「サインインID変更のお知らせ」という件名のメールはそれぞれに届いていたが、件名が同じだけであって受信日時も異なる別扱いのメールである。

原因の項の最初に「ソニーアカウントに使用していたメールアドレスを変更した」と書いた。便宜上それぞれのメールアドレスをA、Bとして区別する。

• メールアドレスA：変更前のメールアドレス。元々PSNに登録していてソニーアカウントに統合した
• メールアドレスB：変更後のメールアドレス。メールアドレス変更と同時にパスキー認証へ変更した

不正アクセスを受けた時点ではソニーアカウントにはメールアドレスBが登録されていた。PlayStationも含めソニー関連のDMはメールアドレスBへ届いていたのでメールアドレスAはもうPSNのデータベース上には残っていない（使用されていない）と思い込んでいたわけなのだが、実際にはそうではなかったのである。それを裏付けるのが不正アクセスの通知として届いていたメールである。「発覚」の項に書いたそれぞれのメールについて送信元と宛先を追記すると以下のようになっていた。

• 件名：サインインID変更のお知らせ（※1件目）
• 送信元：Sony
• 送信先：メールアドレスB

• 件名：[PlayStation™Network] ウォレットへのチャージ完了のお知らせ
• 件名：オンラインIDを変更しました
• 件名：サインインID変更のお知らせ（※2件目）
• 送信元：PSN
• 送信先：メールアドレスA

最初のサインインID変更のお知らせはソニーアカウントからメールアドレスB、それ以降の通知メールはPSNからメールアドレスAへ届いていた。

このことから統合アカウントであるソニーアカウントに登録されているサインインID用メールアドレスとは別に、PSN単独のサインインID用メールアドレスが有効になったままであったことが伺える。

統合する前に使用していたPSNアカウントのサインインID（メールアドレスA）が有効になったままであったとすれば、ソニーアカウントのサインインID（メールアドレスB）をパスキー認証へ変更しても元々のPSNの方（メールアドレスA）はパスワード認証のままである。しかも使っているパスワードは強度が低いままである。これでは総当たり攻撃でサインインされてしまったとしてもおかしくない話である。

推察：犯人による不正アクセスの流れ

というわけで原因と考えられる「PSNアカウントはパスワード認証のままであった」と考えると、どのような手順を取ったかもある程度予想ができる。

• 想定される犯人の行動
• PSNのサインインID（メールアドレスA）でPSNへサインインする
• →強度の低いパスワードなので総当たりでサインインできてしまった
• アカウントを乗っ取るため、サインインIDを変更する
• →この時、ソニーアカウントのサインインID（メールアドレスB）を変更した
• →ソニーからメール「サインインID変更のお知らせ」（1件目）が届く
• ※犯人もソニーアカウントとPSNが別のIDになっているとまで思っていなかったのではないか？
• IDに紐づいていたクレジット情報を使用してウォレットにチャージした。
• →PSNからメール「ウォレットへのチャージ完了のお知らせ」が届く
• ここでPSNのアカウントが変更前のメールアドレスBのままであることに気付く
• 改めてPSNのサインインID（メールアドレスA）を変更する
• →PSNからメール「サインインID変更のお知らせ」（2件目）が届く
• この後、ゲームソフトを購入するなど不正利用を続ける

届いた通知メールと照らし合わせると犯人はこのような流れでPSNの私のアカウントへ不正アクセスしたのではないだろうか。

もちろんあくまで推察なので他の方法でサインインしているかもしれないし、通知に来ない何かをしている可能性もある。しかし、通知メールという証拠に紐付かないことをいくら考えても正解が出てくるわけでもない。私の考えうる範囲で通知メールと整合性が取れていてなおかつ一番可能性が高そうなこの手順だろうと考えることにする。

反省点

仮に原因が推察したとおりだとすればソニーアカウントに統合した時点でPSN側も認証方法を統一して古い方式は削除するようにしておいてほしかったところではある。とは言え、統合アカウントへ移行しても古い統合前の情報をすぐに消すのは（統合先に問題があった場合を想定すると）難しいよねとか、ウェブサイトだけでなくコンソール機というハードウェアも関連してくるのでややこしいよねとか、同業者視点でなんとなく同情してしまう点もつい頭に浮かんでしまうので今回は一旦横に置いておくことにする。

他責するよりも自らの反省点を顧みると、認証を変えたのなら再ログインして確認しろという点に尽きる。

自分が想像している手順でログインできるかどうかを変更直後に確かめておくのも大切だし、認証方式をより強固な方法に変えたのだから旧来の方法で認証済みの端末を一度明示的にサインアウトすれば古い認証情報はその時点で破棄される。もし認証済みのセッションを誰かが悪用していたとしてもそいつも追い出すことができる。毎回サインアウトしておけば安全だし、それが面倒であってもたまには、特に今回のような認証方法を変えた時くらいは、やっておくべきだっただろう。

セキュリティ技術は日々進歩しているが、しょせん使うのは人間である。きちんと戸締りしておかなければ泥棒に入られる危険性は高まるというものである。今回実被害がほとんど出なかったのはたまたま幸運だったということで、改めて個人でできる対策は取っていくよう気を付けよう。

余談

ちなみに今回不正アクセスした犯人による決済はすべてキャンセルされたのだが、一点だけキャンセルされずに残っている情報があった。

それはゲームのトロフィー情報である。

PlayStationはゲームソフトを起動すると自分のトロフィーリストに起動したゲームが追加される。今でこそゲームを非表示にすることができるようになった（はずだ）が、トロフィーをコンプしたい派の人などがリストにトロフィー０のゲームが気になる…など言っているのをよく見かけたものである。

今回事後確認でPSNにサインインして情報を確認していると、いくつか私が起動した覚えのない、というかそもそも所有していないゲームが追加されていた。そして、その中に『Mortal Kombat 11』があったのである。

Mortal Kombat 11

過激なゴア表現で一部界隈では有名な人気格闘ゲームである。「一部界隈で」と書いたのはその過激なゴア表現が原因で日本では一切販売されていない作品であるとのが大きな理由である。海外通販などを使って海外版を輸入するなど面倒なことでもしない限り遊べないので、日本では一部のファンだけが知っているゲームとなっている。

そんな『Mortal Kombat 11』がトロフィーリストの中にあるということは、犯人が不正アクセスした後にこのゲームを起動したというわけである。

わざわざ不正アクセスしてまでする犯人が自前のパッケージディスクを使って起動させたとも考えにくいので、チャージしたウォレットを使ってこのゲームソフト（と他いくつかのソフト）を購入したのだろう。ということは犯人が使用しているPS5は日本ではなく『Mortal Kombat 11』が購入できる海外にあり、犯人も海外から不正アクセスしてきたのだろうと伺える。

このことからも認証済端末を悪用したパスキー認証で不正アクセスされたわけではないだろうと推察した一因となっている。

余談2

ソニーアカウントは統合アカウントなのだからPSN以外の関連アカウントへ被害が及ぶのではないか？という点について。

確かに統合IDなのでPSN以外のサービスも色々サインインできるのだが、そもそもPSN以外はソニーストアに購入済製品のサポート登録をしているくらいで他には一切何も使っていない。なのでソニーストアで製品を購入するとか、別のストアで音楽とか電子書籍とか購入するとかをしようとしたら結局連携先のサービスで情報登録しないといけないので、不正利用される段階にすらなかったわけである。

この点についても、連携先で悪用されたりしていたらもっと面倒なことになっていただろうから、あまり使ってなくて良かったというところだろう。

終わりに

というわけで以上が不正アクセスを受けた顛末と私が考える原因、そして反省でした。

こういう被害に会わないように気を付けているつもりではあったけど被害に会う時は会うものだと改めて気付かされた出来事でした。