ロブロックスで2段階認証を設定していたのに乗っ取られた場合、「2段階認証まで突破された」と考えたくなります。
ただし、最初からそう決めつける必要はありません。
2段階認証は重要な防御ですが、ロブロックスにはパスワード以外のログイン方法があり、すでにログインしたままになっている端末もあります。
そのため、パスワードと2段階認証だけを設定し直して終わりにするのではなく、第三者がまだ入れる入口が残っていないかを確認する必要があります。
最初に見るのは「2段階認証」ではなく、今もログイン中の端末
まだ自分のアカウントに入れるなら、最初にロブロックスの「設定」→「セキュリティ」を開きます。
ここに「ログインしている場所」という項目があり、現在そのアカウントでログイン状態になっている端末を確認できます。
「セッション」と表示される場合がありますが、これは難しく考える必要はありません。「その端末で、まだログインしたままになっている状態」という意味です。
見覚えのない端末や地域、最近使っていない端末があれば、そのログイン状態を終了させます。
どれが怪しいのか分からない場合は、自分が現在使っている端末以外をまとめてログアウトさせる方法もあります。
ここが重要なのは、2段階認証が主に「新しくログインするとき」の確認だからです。
すでに第三者側でログイン状態が残っているなら、2段階認証を入れ直しただけで安心とは判断できません。
次に「ログイン方法」を確認し、知らないパスキーがないか見る
次は「設定」→「アカウント情報」→「ログイン方法」を確認します。
ここではパスキーを管理できます。
パスキーとは、パスワードの代わりにスマートフォンの顔認証、指紋認証、画面ロックなどを使ってログインする仕組みです。
ロブロックスでは、パスキーでログインした場合、通常の2段階認証は求められません。
これは正常な仕様です。パスキー自体が本人の端末を使った強い確認方法として扱われるためです。
問題になるのは、自分が追加した覚えのないパスキーが登録されている場合です。
乗っ取り後も自分がログインできているなら、「2段階認証はオンだから大丈夫」と考える前に、知らないパスキーが追加されていないか確認してください。
共有パソコンや家族の端末に自分で追加したものなのか分からない場合も、必要なものだけを残した方が整理しやすくなります。
メールによる2段階認証なら、メールアカウント側も確認する
2段階認証を「メールに届くコード」で行っている場合は、ロブロックスだけでなく、そのメールアドレス自体が安全かも確認します。
現在のロブロックスには、メールへ送られるワンタイムコードだけでログインする方法があります。
さらに、メールによる2段階認証を設定しているアカウントでは、このメールワンタイムコードによるログイン時に、通常のメール2段階認証をもう一度求められない場合があります。
つまり、ロブロックスのパスワードだけを守っていても、登録しているメールアカウントへ第三者が入れる状態なら十分ではありません。
メールサービス側で、知らない端末からログインされていないか、転送設定を勝手に追加されていないか、パスワードが他のサービスと同じになっていないかを確認します。
メールのパスワードを変更するときは、ロブロックスとは別のパスワードにします。
なお、認証アプリでロブロックスの2段階認証を設定している場合は挙動が異なります。メールのワンタイムコードでログインしても、認証アプリによる確認が求められます。
そのため、「2段階認証を入れている」と一括りにせず、自分がメール認証なのか認証アプリなのかを確認することが重要です。
Robloxから届いたセキュリティ通知で侵入時刻を確認する
登録しているメールアドレスがまだ自分のものなら、ロブロックスから届いているメールも確認します。
ロブロックスでは、新しい端末や通信元からログインがあった場合などにセキュリティ通知を送ります。
通知には、おおよその時刻、地域、端末情報などが表示されることがあります。
ここで知りたいのは犯人を特定することではありません。
「いつ頃から、自分以外の操作が始まった可能性があるか」です。
たとえば、その直前にDiscordなどから送られたリンクを開いた、ロブロックス関連のツールを入れた、ブラウザー拡張機能を追加した、といった出来事があれば、次に確認する場所が見えてきます。
偽サイトや拡張機能を使った後なら、先に端末を確認する
乗っ取られた後に、いきなりパスワードだけを変更して終わらせるのは避けた方がよいケースがあります。
たとえば、
「無料でロバックスがもらえる」と書かれたサイトへログインした。
DiscordやSNSから送られたロブロックスのプロフィールリンクを開いた。
ロブロックス用の便利ツールやブラウザー拡張機能を入れた。
ゲームを有利にするツールなどをダウンロードした。
こうした直後に乗っ取られた場合です。
ブラウザーには、ログイン状態を覚えておくためのデータがあります。一般に「Cookie（クッキー）」と呼ばれるものです。
ロブロックスはこのログイン情報を盗まれにくくする保護機能を導入していますが、公式サポートでも、乗っ取られた場合は最初に不審なダウンロードやブラウザー拡張機能を取り除き、端末をウイルス検査するよう案内しています。
端末に原因が残っている状態でパスワードだけ変更すると、新しい情報まで再び盗まれるおそれがあります。
思い当たるものがある場合は、不審なソフトや拡張機能を取り除き、端末の安全を確認してからアカウント設定を直します。
入口を閉じてからロブロックスのパスワードを変更する
ログイン中の端末、パスキー、メール、使っている端末を確認したら、ロブロックスのパスワードを変更します。
新しいパスワードは、メール、Google、Discord、SNS、ほかのゲームなどで使っているものと同じにしないようにします。
そのうえで2段階認証を設定し直します。
認証アプリによる2段階認証を利用する方法もあります。
さらに強い保護を使いたい場合、現在のロブロックスには「Enhanced Protection（強化保護）」もあります。
これは、メールや認証アプリに表示される6桁コードではなく、パスキーなどフィッシングに強い方法を中心に本人確認する仕組みです。
ただし、パスキーを使う場合は、紛失時に戻れるよう復旧方法も準備しておく必要があります。
「強い認証を設定すること」と「自分がログインできなくなったときの復旧方法を残すこと」はセットで考えます。
すでにログインできない場合は、自分で設定を直そうとし続けない
メールアドレスやパスワードを変更され、自分ではログインできない場合は、設定画面から入口を閉じることができません。
この場合はロブロックスのサポートへ進みます。
ロブロックスは、元の所有者を確認する材料として、最初にアカウントへ追加したメールアドレスや、最初の支払いで使った請求用メールアドレスなどを挙げています。
乗っ取られた後に登録メールアドレスを変更されていても、以前の情報が所有者確認に使われる場合があります。
ただし、情報を出せば必ず復旧できるという意味ではありません。
また、乗っ取りによってロバックスやアイテムを失い、その回復についてサポートを求める場合、ロブロックスは侵害から30日以内に連絡するよう案内しています。
ログインできなくなった場合は、設定を何度も試すより、早めに復旧手続きへ移る方がよいでしょう。
2段階認証を入れていたのに乗っ取られたときの考え方
「2段階認証を入れていたのに乗っ取られた」というだけでは、2段階認証そのものが突破されたとは判断できません。
第三者のログイン状態が残っていた可能性があります。
別のパスキーが追加されていた可能性もあります。
メールによる認証を使っているなら、メール側から入られた可能性も確認する必要があります。
偽サイトや悪意のある拡張機能などからログイン情報を盗まれた可能性もあります。
そのため、もう一度2段階認証をオンにするだけではなく、
「ログインしたままの端末は残っていないか」
「知らないパスキーはないか」
「メールアカウントは安全か」
「使っている端末やブラウザーに原因が残っていないか」
まで確認してから認証設定を作り直すことが重要です。
2段階認証は重要な防御ですが、確認する場所は2段階認証の設定画面だけではありません。
出典
Roblox Support｜My account was hacked – What do I do?
Roblox Support｜Session Management
Roblox Support｜Add 2-Step Verification to Your Account
Roblox Support｜ワンタイムコードでログインする
Roblox Support｜Enhanced Protection: Phishing-Resistant Account Security
強化保護と、通常の6桁コードよりフィッシングに強いパスキー・ハードウェアキーについて説明したRoblox公式資料。
