XboxLiveアカウントハック方法が意外とアナログ的

Xbox Live Vulneribility Exposed! Microsoft Ignored The Truth
http://www.analoghype.com/video-games/xbox-360-video-games/xbox-live-vulneribility-exposed-microsoft-ignored-the-truth/
1. Liveのゲーマータグを発見・収集して、グーグルやFacebook、Twitterなどでタグの持ち主を探し、Windows Liveのメールアドレス（Windows Live ID）を見つける
2. Xbox.com（https://live.xbox.com/Account/Signin）にアクセス、発見したメールアドレスを入力
パスワードは総当たり攻撃でサインインを試みる。正確なパスワードの入力に複数回失敗すると、画像内文字認証が現れ、IDとパスワードだけではサインインできなくなる。
しかし、同時に「別のIDでサインイン」というリンクが現れ、そちらのリンク先には画像認証が現れない。もちろんさきほどと同じIDを使ってトライできる。
失敗するとまた画像認証が現れるが、「別のIDの〜」リンクも再び現れる。以降この繰り返し。
ハッカー達はこの工程を自動化し、一日に複数のアカウントを盗む。

たしかにゲーマータグとグーグル垢、ツイッター垢の名前一緒だわｗ

クレカもなにも登録してないから無害だな

意外とっていうか、だいたいこんなもんだろうと思ってたが。

あの糞見辛い画像認証にそんな抜け穴あったのかよ
わざわざ俺の脳内ペットの名前まで入れてパスワード変更したというのに

数年前に見つかったセキュリティホールを突いて、1億件の個人情報ハックするのとどっちが難しいんだろうなｗ

グーグルと全く一緒だから変えなきゃだ

ええっと…

>>1
全部裏でソニーが動いてるな
間違いない

総当たり攻撃
http://ja.wikipedia.org/wiki/%E7%B7%8F%E5%BD%93%E3%81%9F%E3%82%8A%E6%94%BB%E6%92%83

6文字の大小いずれかの英字だけのパスワード Pentium 100MHzのPCで5分間〜8.5時間

ってこんな簡単に突破されるんだ。
8文字にしないと危なすぎだな。

[別のIDでサインイン]

がダメだろ？

>>10
数字と記号を含めるだけであら不思議。

しかし、総当たりとかそんな不自然なアタック紛いなアクセスだったらすぐバレるんじゃね？と思うのは素人考えかな
まさか手動とか、手動に近い速さでの自動化だったら本末転倒だろうし

>>10
それと今回のケース全く状況が違うでしょ
そんな速度でアクセスしたらすぐばれるしアク禁されるし捕まる
しょぼい鯖ならその前に落ちる

>>10
CPUネックじゃなく通信ネックになるからその時間じゃ終わらんぞ

( ﾟдﾟ)ﾎﾟｶｰﾝ・・・

「MSのセキュリティ甘すぎ！糞箱オワタ！」

ゴキも息巻いて煽らないあたり分かってるのか

そりゃ総当り攻撃ならPSNの方が分が悪いというかLiveと同じだからなあ
むしろPSNではロック一切かからないのでパス入力し放題である

https://twitter.com/#!/PMswiny/status/136816415251496960
昨日の夜中Live切断されて一晩寝てから垢復元したらゲームの購入履歴に「真・三國無双5」とかあるんだけど
https://twitter.com/#!/PMswiny/status/136816021481848833
やはり昨日のLive切断は垢ハックくさいぞ
https://twitter.com/#!/PMswiny/status/136818422376964096
誰が買うねん http://twitpic.com/7exxrt魚拓

https://twitter.com/#!/clannd1973/status/157745803790786560
@PMswiny FIFAやられてる
https://twitter.com/#!/PMswiny/status/157747345394630656
@clannd1973 え、また？

https://twitter.com/#!/PMswiny/status/157747889123233793
パスはあれから変えたぞ
https://twitter.com/#!/PMswiny/status/157772040458342401
パス変更されてたけど取り戻した。パス変更の段階で中華文出てきたんだけど犯人中華？

>>20
成りすましだろ
突撃して黙らせようぜ
MS怒らせたらどうなるか教えてやる

>>10
そういうのガードするために
ログインプログラムはだんだん再表示にウエイトつけるようになったり
規定回数のログイン失敗でアカウント凍結したりするのよね

アタックする方も無駄な文字列で総当りやろうとする奴はあまりいない
既存の辞書からスペル拾ったり、生年月日と見込んで数字だけで叩いたりする
お前ら辞書に載ってるスペルとかパスワードに使ってないだろうな
萌えキャラの名前とかパスに使ったら破られた時恥ずかしいぞ

ザルガードじゃないっすか

本当にザルなのは
破られちゃうパスで登録しちゃう個人個人のセキュリティ意識の無さなんですけどね

>>21
昆虫脳こわい

http://news.dengeki.com/elem/000/000/445/445967/MSP_cs1w1_583x485.jpg
▲こちらは1月11日にアカウントハックをされた友人のマイクロソフトポイント不正利用の様子です。

>>20
垢復元ってなんだよ…
そもそもMSに連絡いれたのか？返事は？どうやってパス取り戻した？
突っ込みどころ満載すぎるだろこいつ

>>24
ユーザーがロガー踏んだり単純なパスだったりすると企業側じゃお手上げだしな

>>10
12桁以上にしてるな。

>>27
頭の悪い人間は
対応に当たっても頭の悪い発想しか出来ないからなー

ハックして無双5買うとか意味ﾌｗ

メアドはランダム生成したおかげで自分でも全く覚えてない
パスワードも意味のある物にはしてないつもりだが

FACEBOOKやTwitterと同時ハックされた奴が多かった理由はやっぱりこれか
ソーシャルハックオチとかつまらないんですが

>>21
馬鹿じゃねーの？
突撃すんならMSだろうが。
文句言う相手が間違ってんだよ。
これからMSにメールしてくるわ。

メアドはランダム生成だけどこれだけは覚えてる
あとは全部LastPass頼りだからチョイ不安ではあるがな

>>1
アナクロ的

よくわからんのはハックされてもクレカ番号が抜かれるわけじゃないんだよな
ゲームに関わるなにかを買われるだけなんだがそれってハックした奴にメリットあんのかね？

>>37
ローカルにＤＬされたものは別アカがオンラインなら
そのまま使用可能だからね
他人の金でソフトＤＬ可能なのと意味は一緒

せめて一日の同一IDへの試行回数決めとけ

>>39
だね
ロックかからないとだめだわ

おれは痴漢だけど、これはフォローできないわｗ

間違えました。スルーで

パスってどうやって変えるんだっけ？

>>41
トメヒサってなに？

TOMOHISAってコテならsってる
ガメスパでも同じコテで書き込みしてるニワカPS3信者

何億千万回でも自由にアタックできるとかアホすぎだろ
マイクソも信用ならんな

>パスワードは総当たり攻撃でサインインを試みる

何でLiveだけに限定してるんだよｗ

そもそもパスとか覚えてない上にMSポイント０だから何の被害もないｗ

>>10
CPUじゃなくてGPUでパスワード解析すればもっと早く出来るから
8文字でも少ないぞ、マジで

どれだけ早いかは

GPU　パスワード解析

なんかでググれ

おっさんといい箱○オンリー信者が悲鳴を上げてるのは気持ちいいwww
一神教はゲーマーなんて名乗るなよクズが^^

同じパスワードを色んな場所で使いまわすのは、楽だがリスクが高いってことだよな

何を今更と思わなくもないが

ネトゲであったなあ
この間

>>47
twitter、facebookなんかもこんな方法で突破できる仕組みなのか？

>>50
ただの超古典的なブルートフォースアタックだろ・・・

普通のハックだな
怖い話だ

PSNは勝手にポイント使われたとか全然聞かないよな

クレカ登録しておらず、
ライブIDは最初のデフォの意味のない文字列のままで、
グーグルのメアドすら持ってない俺にアカウントハックの脅威は届かないのであった

機械的なアタックに耐えられない、という意味ではシステム的に脆弱だったと言えるな。

>>56　え・・・？

むしろこんなもん見つかるのにずいぶん時間がかかったな

やっぱソーシャルハックかよ・・

ってかほんと意識低いなあｗ

機械アタック許しているってのはMSほどの企業にしては
言い訳したら行けない

確かWoWだと5回連続で間違えると
アカウントロックされて登録メアドにアンロックの案内がきたな

>>10
元ハッカーの知人がいるけど
パスワードの使いまわしは言語道断
意味のある英語や日本語の英数字はすぐに見抜かれる
キーボード準拠のパスワードも最近忠告されてるし

ハックはされてないとかマイクソ否定してたけどこんなアタックされてたらすぐ分かるじゃん
セキュリティ意識がどんだけ低いんだよ

>>56
去年からあるよ

今年報告あったなかで一番酷かったのは
警察経由で調べて貰うまで
不正ＤＬ履歴がないから無理とSCEに言われたケース

＞何億千万回でも自由にアタックできるとかアホすぎだろ

PSNでも同じというのが悲しいね
ましてやPSNはアカ不正使用あった時に、パスワード入力制限つけたほうがいいと進言したのに改善されなかった

マイクソは昔からセキュリティ意識低いだろ

ゴキブリはＭＳっていう会社を知らない無知の集団だな

クレカ登録せんでよかった
PSNはVISAデビット使えるのにMSは使えないのはいただけないな
集団訴訟しようぜ

liveアカを乗っ取るために何億何千万回アタックをかけるのか…



ねーーーーよｗｗｗ
阿呆がパスを公開したら乗っ取るかなってレベル

むしろこんな簡単にブルートフォースできるシステムはまずいよ！

>>71
お前がよっぽどセキュリティ意識の高い奴なら心配要らないんだろうし、
みんながそうなら別だけどクレカ情報が登録されてるアカはそれをやる価値があるんだよ
んでもって、アタックかけるのはほとんど無料に近いとなったら
そりゃチャイナやらはやる。それこそ徹底的にやる

>>68
少なくとも、既知の脆弱性を放置するほどの意識の低さは無いぞ。
某１億件の流出をかました所みたいにｗ

グーグルやFacebook、Twitter？
何それ美味しいの？

>>70
俺普通に使ってるけど

>>71
人間がコツコツ手動で何万回もアタックしてると勘違いしてるんだろうな
流石エリートコアゲーマー様だな

アタックにツールが使われなければ大丈夫だけど
まあセキュリティ対策をより盤石なものとしてくれたらユーザーは安心だし
改善すべきとこはしていくべき

奇特な人が俺のアカウントにゲイツチャージしてくれないかな

これ総当たりなだけでハックって呼べるのか微妙

>>77
へえ、MSの認証画面でツール使えんだ？初耳なんだが

これって普段と違う国からのログインをマイクロソフト側で弾いたり出来ないのかな？
海外からもhotmailみたい人は設定を変更するとログイン出来る様にして

>>80
Hackって元々は手軽にやってみたけどどうよ？ってニュアンスを含む言葉だし。

>>81
MSの認証画面って、普通にLive垢のログインページなんだから使えるんじゃない？知らんけど

アナログつーかアナクロじゃね？

>>81
ツールが使われなければも初耳もなにも
ブラウザで延々とxbox.comのログインページで
>>1の手順を繰り返すツールを作って実行してるんじゃね

>>56
一昨年の夏からクレカ不正使用の報告あって
公になったときゲハが運営に不自然に落とされたことも知らないのかw

ゴキって情弱しかいないのなｗ
はちま見てるからだろうけど。

アナログつーから
聴診器でも使うのかと思った
ふつーにデジタルじゃないか

>>87
報告者が証拠ログあげるまでずっと捏造扱いしてたよね

不自然に落とされたって本気で言ってんのかな

>>76
つかえねーよボケ

PS3はコンビニでウェブマネー
360はMSPポイントを店で購入
これでクレカは一安心

>>90
多分ユダヤ人かシンジケートか闇の勢力の仕業だろう

見苦しい単発ゴキブ李ｗｗｗｗ

ソーシャルハック以外の方法でアカ乗っ取れるスキルあるならヤバい橋渡って
安い金でアカ横流しするよりスキルアピールして高給貰う方が得なんだよな

MSの時は必死で言い訳信じちゃうんだねwww

>>91
使えるわカス

なんというアホすぎる穴ｗ
痴漢これで散々煽ってたのに箱も糞だったｗ

>>96>>98
ソースがある
実際に出来る
本人が証言してる

これで信じないで何を信じるの？

つうかこの方法で総当りで平均どれくらいの時間かかるのよ。
通信まわりのラグ入れたら天文学的になるんじゃないの。

ふつうにフィッシングにひっかかっただけだろ。

痴漢ご苦労様
便所箱360

>>99
645 ：名無しさん必死だな[sage] ：2012/01/14(土) 08:27:47.26 ID:n9rNZ4h40
XboxLiveアカウントハック方法が意外とアナログ的
http://toro.2ch.net/test/read.cgi/ghard/1326448515/
＞パスワードは総当たり攻撃でサインインを試みる。

なあ、LIVEのパスワードは6文字以上で大文字小文字の区別あり
数字や記号抜きでも約200億通りあるのに、どうやって総当たりでパスワードを入手するんだ？
仮に半分の所で当たったとしても、マイクロソフトのセキュリティって1つのアカウントに100億回アクセスがあっても気にしないレベルなのか？

ブルートフォースって言葉はなんかカッコいいな

鯖に余裕で侵入された超貧弱鯖のアレと違って、LIVE鯖が硬すぎて入れなかったから
IDとパス盗んで入るという方法しか取れなかったんだなｗこれでLIVE鯖の硬さが証明されてしまったわけだが
ゴキブ李どうすんの？ｗ

>>102
よくあるパターンのパスワードから検索してくんだよ、こういうのは。
だから、ランダムなパスワードとか、記号大文字混じりのパスワードが
いいと言われるわけで。

>>102
被害者の中でも何人もパスワードやアカウント使いまわし認めてるんだが
今日日パスワードが『password』だったり誕生日やペットの名前だったりするアカウント探しても数億はあると思うよｗ

試したけど簡単にハックできるんだな・・・
さっそく嫌いなフレにｌｉｖｅポイント10000買わせといたｗ

>>107
不正アクセス禁止法違反の犯罪告白ご苦労様。

残念ながら『一日に加算可能なマイクロソフト ポイントのポイント数の上限は 8,000 ポイント』だｗ

チカニシ乙！ハックして、上限を1000まで増やして買った後に怪しまれないように8000に戻したからだというのに！

アナログ的・・・・
やはり中国人労働者の報復か・・・？

チカニシ乙！自分のクレカから引き落としだというのに！

釣りで抜くのが簡単だよね〜
http://www.itmedia.co.jp/news/articles/1201/13/news077.html

セキュリティがずさんすぎますね

本体横置きでも大丈夫なのか

俺アカハックされたらマジで引退すると思うわ
実績解除してくれてただけならいいけど

>>107
まじで通報した。犯罪だからね。

>>102
CAPTCHAって言う画像認証が本当は必要なんだけど､他IDで試すってやるとその画像認証が不要になっちゃう､そこで同じIDを入力ってのを自動化しちゃうのよ
それでゴリゴリと一文字づつやってくって方法､時間は相当かかるけど､GPU併用でやるとあんま時間かからんのだとか

要するにビミョーな穴に対して力ずくでアクセスしまくってるってヤツみたい､ただ､そう言うのでも落ちないのがMS関連の鯖の怖さとも言うか･･･w
せめて現地言語CAPTCHAやってくれりゃいいのにw

>>103
要するに｢力ずく｣だけどなw

もう対応されたみたいだな

時計はやっぱりデジタルだよね