PC用オンラインゲーム「Master of Epic」(MoE)のアカウント情報が流出したらしく、アカウント情報（メールアドレス・パスワード）が書かれた迷惑メールが来た。
Twitterに第一報を書いたところ反響があったので、もう少し詳しく書いておく。
オンラインゲーム「Master of Epic」(MoE)のアカウントが流出した模様。ハッカーを名乗るメールが来た
— hidebox09 (@hidebox09) 2018年10月4日
MoEのアカウントに使ったメールアドレスと、MoEだけに使ったパスワードが書かれていて「ビットコイン払え」などと言っている
MoEは昔ちょっと遊んだ程度。古いアカウント管理に注意か #masterofepic pic.twitter.com/g6ZmdyJNFf
●ハッカーを名乗る迷惑メールが来る
最初に怪しい迷惑メールが届いたのは2018年10月3日。
件名：Delete Message After Reading!
差出人：MoEに使用したメールアドレス
宛先：MoEに使用したパスワード
なお、その翌日（2018年10月4日）も同じ文面の迷惑メールが違う件名で届いた。
件名：Account Issue
差出人・宛先：1通目と同じ
お前のSNSなどのアカウントにアクセスしてデータを抜いた的な、物騒なことが書いてあって、最後には「ビットコインを払え」と金銭を要求している。
なお、今のところSNS関連に被害はないので、迷惑メールの定型文なのではないかと思っている。
●Master of Epic(MoE)のアカウントと特定
最初は何のアカウントなのか分からなかった。メールにも漠然としたことしか書かれていない。
ただ、私は各種アカウントに対してそれぞれ個別のパスワードを設定しているので、パスワードから何のアカウントかを特定できる。
ちなみにちょっと原始的だけど、すべて紙のメモにしてあるのでパスワードリストがPCから流出することはない。
調べてみたところ、今は遊んでいないオンラインゲーム「Master of Epic」(MoE)のアカウントだった。
2011年2月に運営会社「Rosso Index」に登録、少し遊んだまま放置していたもの。パスワードは登録時のまま変更していなかった。
アカウント登録時からは自作PC（2011年1月組み立て）のシステムSSDを2回換装（2012年10月、2016年7月）してその度にクリーンインストール、MoEは現在PCにインストールすらされていない。公式サイトにログインしたのもこの数年はないはず。PC内にMoEのパスワード情報がある可能性は低く、ここからパスワードが漏れたとは考えにくい。
調べてみると当時からは運営会社も替わって、ウィローエンターテイメントが運営している（2012年～）。
Master of Epic(MoE) 公式サイト
●流出の経緯を考えてみる
TwitterでMaster of Epic(MoE)の常連ユーザーさん達のツイートを読んでみての推定。
・MoEは昔アカウント流出したことがあるというツイートあり
・旧運営会社（Rosso Index、ゴンゾロッソオンライン）の頃らしい
・古参ユーザーには私と同様の迷惑メールが届いている人もいるらしい
・迷惑メールに書かれたパスワードは古いものも多いらしい
・昔流出したアカウント情報が今もネット上を流通しているのではないか
といった感じ。
小まめにパスワード変更している現役のMoEゲーマーよりも、私のような昔アカウント作りっぱなしの休眠ユーザーのほうが影響を受けそうな印象。
昔流出したアカウント情報をSPAM業者が今になって入手したのであれば、何のアカウントか分からず漠然と「SNS乗っ取った」的な文面になっているのも納得できるところ。
Twitterで過去の流出に関する情報をいただいた。
流出に関するMoE公式サイトの記述。（2006.4.10部分）
Master of Epic Official WebSite - 過去のニュース一覧-
流出は2006年ということで、私がアカウント登録した2011年2月よりも前。これが原因とは考えにくくなってしまった。
●とりあえずの対策いろいろ
MoEの運営会社には連絡しておいた。すでに他の人からも報告は挙がっているようだけど、公式の見解は「流出はない」とのこと。ユーザーが他の要因で個人的に漏らしたのではということだけど、まあ大昔別の運営会社が流出させたのであればこのコメントも無理はないところ。
MoEの公式Twitterにも迷惑メールに関する注意が書かれた(2018.10.5)。そこで紹介されていたトレンドマイクロの詐欺メール情報が今回のメールと似ていて参考になる。詐欺メール本文が日本語という違いはあるけど。
「アダルトサイト経由のハッキング」で脅す詐欺メール、12日間で250万円を詐取か | トレンドマイクロ セキュリティブログ
この記事によると、ウイルスバスターのユーザーは詐欺メールが遮断されて届かないようになっているらしい。私はノートンセキュリティユーザーで、SPAM警告付きでメールを読むことができたので何のパスワードが漏れているか分かったけど、ウイルスバスターを使っている人は要注意かもしれない（もちろんセキュリティソフトを入れないよりはずっと安全）。
IPA（情報処理推進機構）も注意喚起(2018.10.10) 。
安心相談窓口だより：IPA 独立行政法人 情報処理推進機構 - 性的な映像をばらまくと恐喝し、仮想通貨で金銭を要求する迷惑メールに注意
ひとまずメールが届いたその日にMoEのパスワードは変更。
あとは、このメールアドレスはSPAM業者に知れ渡っているということだから、このメアドを使ったアカウントのパスワードもこれから再点検。ほかのメアドへの移行も検討。
そして、運営会社からの返事でも指摘があったけど、（PC内にアカウント情報はないから今回は違うようだけど）メールアカウントのパスワードが漏れてメールが外部から読める状態になっている可能性も考えられるから、それも再点検。
二段階認証やログインアラートなど、セキュリティ強化オプションを実装したサービスも増えてきたけど、まだ設定していなかったサイトを発見しだい設定。
過去に作成したままほぼ使っていないアカウントは、退会（解約）も検討。
以上、迷惑メールが来てから今日までの状況をまとめてみた。休眠アカウントはけっこうあるので、それらがゾンビ化して迷惑かけたりかけられたりしないように、改めてネットのセキュリティには気をつけようと思う。
