長年にわたり、Steamのセキュリティに関する標準的なアドバイスは単純でした：「パスワードを絶対に教えないこと、そしてモバイル認証アプリのコードを絶対に教えないこと」。これは今でも真実ですが、詐欺師たちは利便性のために設計された機能、すなわちSteamモバイルアプリのQRコードスキャナーを利用して、これら両方のステップを同時に回避する恐ろしく単純な方法を見つけ出しました。
この手法は、「Streamjacking」や「QRフィッシング」と呼ばれることが多く、CS2コミュニティで非常に蔓延しています。以下に、その仕組みと、なぜSteamアプリでランダムなQRコードを絶対にスキャンしてはいけないのかを正確に説明します。
利便性の中にある欠陥
新しいPCでSteamにログインする際、モニターに表示されたQRコードをSteamモバイルアプリでスキャンするオプションがあります。これは素晴らしい利便性機能です。パスワードや2FAコードを入力する必要なく、認証済みのセッションをスマートフォンからPCに安全に転送します。
しかし、この機能は、QRコードを表示している画面があなた自身の画面であることを前提としています。詐欺師たちはこの前提を悪用します。
もしあなたが詐欺師のコンピューターによって生成されたQRコードをスキャンしてしまうと、そのコンピューターにあなたのSteamアカウントへの完全な認証済みアクセス権を即座に与えてしまうことになります。
詐欺の手口
この詐欺は、緊急性、欲、そして正当性の幻想に大きく依存しており、通常はTwitchやYouTubeなどのストリーミングプラットフォーム上で展開されます。
1. 偽の配信（餌）
詐欺師はTwitchやYouTubeでライブ配信を設定します。正当に見せるために、彼らは以下のことを行います：
- 有名なプロプレイヤー（例：s1mple、m0NESY）や主要なトーナメント主催者（例：ESL、PGL）の名前とブランドを利用する。
- そのプレイヤーやトーナメントの古くて視聴回数の高いVOD（ビデオ・オン・デマンド）を再放送し、配信が活発で人気があるように見せる。
- 視聴者ボットを使用して視聴者数を数千人に人為的に膨らませ、偽の配信をCS2カテゴリの上位に押し上げる。
2. おとり（釣り針）
この盗まれたゲームプレイ映像の上に、大規模なグラフィックがオーバーレイされ、プレゼント企画を約束します。以下のような文言が表示されます：
- "!DROP - 無料ナイフを受け取るにはスキャンしてください"
- "ESLメジャー視聴特典 - アカウントをリンクするにはQRコードをスキャン"
- "S1MPLE引退記念プレゼント - 参加するにはスキャン"
テキストの横には、大きくて鮮明なQRコードが表示されます。
3. 実行（罠）
この詐欺は、考える前に素早く行動するあなたに依存しています。
- 公式配信を見ていると信じ、無料スキンを欲しがり、あなたはSteamモバイルアプリを開きます。
- アプリ内のQRコードスキャナーを開き、モニターに向けます。
- Steamアプリはログインの確認を求めます。配信にアカウントを「リンク」してドロップを受け取るためだと思い、あなたは「確認」をクリックします。
現実： 配信上のQRコードは、詐欺師のサーバー上にある自動化されたログインスクリプトによって動的に生成されたものです。あなたが確認をクリックしたとき、あなたはプレゼント企画にアカウントをリンクしたのではなく、詐欺師のサーバーがあなたのSteamアカウントにログインすることを承認してしまったのです。
4. アフターマス
QRコードログイン方式を利用したため、詐欺師はあなたのパスワードや通常の2段階認証コードを迂回します。これにより、詐欺師は有効な認証済みセッションを手に入れます。数秒のうちに、自動化されたスクリプトがあなたのアカウントからトレード可能なアイテムをすべて剥ぎ取り、それらを複数の中継アカウントのネットワークを通じて送ります。
自分自身を守る方法
この詐欺から身を守るには、Steamモバイルアプリに関する習慣を厳格に変える必要があります。
- QRコードの黄金ルール: Steamモバイルアプリ内のQRコードスキャナーには、唯一の目的があります。それは、あなた自身が管理する物理的な画面（モニター）上で、公式Steamクライアントソフトウェアまたは公式
steamcommunity.comウェブサイトにログインするためです。 - 動画、配信、Discordメッセージ、外部ウェブサイトからのQRコードを絶対にスキャンしないでください。
- 公式のドロップはこのような方法では機能しません。 正当なトーナメントドロップやプラットフォーム連携（例：SteamとTwitchの連携）は、安全なAPI OAuth連携（安全なSteamログインページにリダイレクトするボタンをクリックする方式）を通じて処理され、決して動画フィード上のQRコードスキャンでは行われません。
- 配信を確認する: 有名なプレイヤーがアイテムを配布していると主張する配信を見つけたら、チャンネル名を注意深く確認してください。偽のチャンネルは、しばしばわずかなスペルミスがあったり、正規のプラットフォームにある公式の「認証済み」バッジが欠けていたりします。
QRコードログインの利便性は、自分自身のデバイスでは素晴らしいものですが、間違った画面に向けられた場合は装填された武器のようなものです。SteamのQRコードスキャナーは、見知らぬ人に自分の物理的なスマートフォンを手渡すのと同じ極度の注意を持って扱ってください。
