パスワードを忘れた? アカウント作成
15512868 story
SNS

「起きたら全て消えていた」 Discordで横行する“サーバー凍結荒らし” 復活不可 70

ストーリー by nagazou
一夜にして 部門より
tamaco 曰く、

Discordにおけるサーバー凍結荒らしの手法(ねとらぼ

まず“荒らし”グループが複数のbotアカウントを使い、Discord上に「意味不明な文字列」を次々と投稿する。次に“荒らし”グループが「このサーバーには“不正なアクセストークン”が書き込まれている」とDiscordに通報する

→凍結される「あなたのアカウントは他人を欺いて認証トークンを提供させようとしたか、そのためのサーバーに参加したため無効になりました」

攻撃開始から凍結まではわずか数時間。深夜に攻撃が行われたこともあって、この間ちょうど寝ており、「起きたら全て消えていた」状態だったという。一応サーバーの認証レベルを『最高』に変更することで対処可能とはいえ恒久対策ではない(一般ユーザーにも電話番号認証が必要になってしまうので迷惑極まりない)

  • by Anonymous Coward on 2021年12月13日 16時54分 (#4168997)

    フォロワー数の多くない一般的な個人アカウントだと、10アカウントくらいから違反申請すると自動的にBANされる
    日本では、政治的とか思想的に違うアカウントをこの手法でBANしたりするのがたまにある

    ここに返信
  • 今回のであればともかく深刻な問題ならサーバ管理者が反応しないからと言って放置できんだろうし

    でも凍結解除しないのはあかんと思うわ
    強制停止できるなら強制制限モード(管理者だけ投稿可能とか、2段階認証済みの人だけ可能とか)とかにしたらあかんのか?

    ここに返信
  • Discord用語やめて欲しい (スコア:2, すばらしい洞察)

    by Anonymous Coward on 2021年12月13日 17時53分 (#4169049)

    ねとらぼにも注釈あるけどDiscordでいう「サーバ」は他のサービスでいうグループとかルームに近い単位
    知らない人が読んだら意味を取り違えること必至だし害悪に近いと思うんだけど、何がどうしてこんな用語を使い出しちゃったのDiscordくん

    ここに返信
    • by Anonymous Coward

      サーバのインスタンス作成だから別に間違ってないと思うけど。

      • by Anonymous Coward

        間違ってるかどうかじゃなくてそれが一般的かどうかを考えようってことかと

        • by Anonymous Coward

          サーバーのインスタンスはサーバーではない…ってコト!?
          仮想化だのコンテナだの流行ってるのにその認識は時代遅れだとしか

          • by Anonymous Coward

            お人形遊び [wikipedia.org]はよそでやってね

            • by Anonymous Coward

              それはこのツリーの最初のコメントに対して言うべき言葉では?

      • by Anonymous Coward

        マストドンはインスタンスって言うよね
        ディスコードは「サーバ管理者」という言葉を使ったときにどちらを指すのか紛らわしい

        • by Anonymous Coward

          サーバは分類でインスタンスが実体だと思います。
          エンドユーザから見るとディスコードのサーバはサーバに見えるのでサーバ扱いでも良いと思います。中では仮想マシン使ってるかもしれないし。

      • by Anonymous Coward

        言葉の具体性が失われてどんどん意味がわからなくなるな。
        残通信量をギガとか言ってるのと同じ頭の悪さを感じる。

    • by Anonymous Coward

      APIとかで呼び出すときはギルドってワード使うんですよね
      https://discord.com/developers/docs/resources/guild [discord.com]
      なにかの理由があって変えたんだろうけどなんだろう

      • by Anonymous Coward

        ゲームのチャットルームか何かにルーツがあるのか?

        • by Anonymous Coward on 2021年12月14日 9時52分 (#4169388)

          もともとDiscordはオンラインゲーム特化で始まっている。
          だからDiscordでいうサーバー(Video/Voice/Textのチャンネル/チャットルームみたいなもの)をホストするサーバーも敢えて自分達で選べるようになってる。
          Skypeの改悪に合わせて日本で流行り始めた時はまだ日本サーバーがなかったので、香港かシンガポールを使うのが主流だったんだけど、
          それでも遅延が少ないのと音声がクリアで、且つ複数のテキストとボイスチャットチャンネルがその中で自由に作れたから受け入れられた経緯がある。

    • by Anonymous Coward

      サーバをインスタンスって言っちゃうところもあるなあ
      こういうオリジナリティってなんもユーザのこと考えてない
      カッコつけたいだけの子供みたいな精神

      • by Anonymous Coward

        そういうお堅い用途向きじゃないんだよ

        だからって攻撃され放題は困るが

    • by Anonymous Coward

      知らなくてもこの手のサービスは大体そんな感じでなんとなくわかるから特に違和感ないし、一般人が目にするであろうねとらぼで注釈付けてるなら何の問題もないでしょ

      スラドで追加説明する必要があるのかすら疑問

  • by Anonymous Coward on 2021年12月13日 16時10分 (#4168961)

    アクセストークンはそれっぽく見えればよくて、実際にアクセストークンである必要はない
    だからいつ誰からこの攻撃を受けてもおかしくない状態
    Discord運営側が対策するまで正直どうにもならない。

    ここに返信
    • by Anonymous Coward on 2021年12月13日 18時12分 (#4169073)

      Discordはこれ放置していたら運営立ち行かなくなるレベルだと思うんだけど、どうすんだろうね。

    • by Anonymous Coward

      アクセストークンはそれっぽく見えればよくて、実際にアクセストークンである必要はない
      だからいつ誰からこの攻撃を受けてもおかしくない状態
      Discord運営側が対策するまで正直どうにもならない。

      そしてトークンではないとの回答が重なり
      規則性を発見されトークン発行の脆弱性が発覚
      こんな流れになるのかな

    • by Anonymous Coward

      きもくないわっ!

  • by Anonymous Coward on 2021年12月13日 16時41分 (#4168987)

    パスワード間違えるのを繰り返してスマホを(実質)使いものにならなくするとかに
    通ずるものがありますな
    あれもいたずらの可能性に配慮してない点で大概だけど

    ここに返信
    • by Anonymous Coward

      故意ではないがIDを間違えてドメインの他人のアカウントを凍結させてしまったことがある

    • by Anonymous Coward

      マジレスすると間違えるたびに再入力可能になるまでの時間が延びていくので、凍結されるまで間違え続けるには、数日間所有者に気付かれずに盗んでおく必要がある。
      現実的ではない。

    • by Anonymous Coward

      あえてどことは言いまえんけど、某ネットバンクがそれでした。
      typoで間違えて私のアカウントのパスワードミスを繰り返してアカウントロック。
      電話したら「今回は復旧するけど、次はない」と言われた。

    • by Anonymous Coward

      パスワード間違えたらアカウントロックってどこの誰が始めたんですかね?
      パスワードの定期変更と並ぶかそれ以上の阿保だと思う。
      総当たり攻撃対策なら接続元を遮断すればよくて、何故にアカウントをロックするか。
      嫌がらせし放題だもんな、あれ。

      • by Anonymous Coward

        >総当たり攻撃対策なら接続元を遮断すればよくて、

        まあここについては同時複数箇所からの攻撃をどの程度のリスクと考えるかにもよるんで
        しょうね
        現実的に数回×たくさんの踏み台攻撃ってのは存在するので
        (もちろんこれはこれで、ロックかけるにしても恒久的ロックじゃなくてもいいだろとは言える)

  • by Anonymous Coward on 2021年12月13日 17時49分 (#4169042)

    24時間リアルタイムでの対人ゲームなんか朝起きたら負けてほぼゲームオーバーなことあるね。

    #ブラウザ三国志を思い出した。一回のゲームは三か月。その期間、睡眠を取ったらアウトという過酷な対人ゲーム

    ここに返信
  • by Anonymous Coward on 2021年12月13日 20時54分 (#4169181)

    てっきりアメリカの竜巻の話かと...

    ここに返信
    • by Anonymous Coward

      一方日本人はトラックを使った

typodupeerror

あと、僕は馬鹿なことをするのは嫌いですよ (わざとやるとき以外は)。-- Larry Wall

読み込み中...