ドラゴンクエストXで起きたセキュリティ・インシデント、そのとき運営はどう動いたか [事故対応アワード受賞レポート]

2月21日に開催された「情報セキュリティ事故対応アワード」にて、オンラインゲーム『ドラゴンクエストX』を運営するスクウェア・エニックスが特別賞として表彰された。

同アワードは2016年に発生した情報セキュリティに関する事故に関して、説明責任/情報開示に焦点を当て、対応の素晴らしかった企業を選定するという趣旨。今回が第2回の開催となり、経済産業省が後援している。

『ドラゴンクエストX』(以下、DQX)とは、MMORPG(Massively Multiplayer Online Role-Playing Game : 多数同時参加型オンラインロールプレイングゲーム)と呼ばれるジャンルのゲームで、時には数十万人規模のプレーヤーたちが同時にプレイを楽しんでいる。

ゲームの中では、多種多様なアイテムの収集・生産ができるほか、ゴールドというゲーム内通貨を用いてプレーヤー同士でアイテムの売買ができるなど、プレーヤーたちによるゲーム内経済活動が存在している。

このDQXで何が起きたのか。そしてスクウェア・エニックスはその事態にどう対処したのか。同社の優れたセキュリティ対策には業界が違ったとしても学ぶところがあるはずだ。

DQXの技術責任者として、セキュリティ対策に取り組んでいるテクニカルディレクターの青山 公士 氏に話を聞いた。

DQX内で起きたインシデントとは

――今回、「情報セキュリティ事故対応アワード」でスクウェア・エニックス様を表彰させていただきました。この賞は「セキュリティに関する事故を完全に防ぐことは不可能であり、起きたときの対処法が重要である」という考え方に基づいています。

青山 : ありがとうございます。とても複雑な心境で、そういった考え方に基づいているアワードがあることに正直驚きました。しかし実際に、私たちもセキュリティ対策に力を入れているつもりでも事故が発生してしまいましたし、事故は起こる前提でその後の対処も重要なことだと感じています。

――青山様はDQXで発生したセキュリティに関する問題に対処されたわけですが、何が起きたのかについて改めて教えていただけますでしょうか。

青山 : DQXではゲーム内で鍛冶を行い武器防具をつくることができます。鍛冶は失敗することもあれば、逆に「大成功」することもありますが、大成功させるのは運もからみ大変です。ところが、通常の操作ではできない方法で「大成功」を繰り返していたユーザーがいたのです。

――それが「チート行為」ですね。

青山 : はい。詳細についてはDQXのお客様向け公式サイトで公開しています。

概要を発表した経緯

――この件について、青山様はニコニコ生放送で行っているDQXの公式番組「DQXTV」に出演され、経緯などを説明されましたよね。なぜニコニコ生放送という形で情報発信を行われたのでしょうか。

青山 : チート行為を行ったユーザーは、規約に基づいてアカウント停止にするなどの措置をとったのですが、お客様の間でいろいろな情報が飛び交っていたのです。

セキュリティホールがあったことは事実ですが、それ以外に根も葉もないデマも流れていました。特に本当の情報に嘘の情報が混ざると、なかなか見抜けなくなります。そういった事態を考慮し、しっかり顔を出して説明しようと考えました。

――番組はもちろんですが、公式サイトで公開されたレポートがかなり詳細で驚きました。グラフなども活用して、丁寧に説明されていましたよね。

青山 : 今回のことに限らず、公式放送と冒険者の広場ではできるだけ同じ内容を掲載するようにしていますが、本件は多くのお客様へゲーム内経済への影響を丁寧に説明する必要があると思いました。DQXでは作成した武器防具をバザーという場所に出品することで売買できます。自分が作った装備を売ってゴールドを得て、他のプレーヤーが出品した装備を買う……そのようにしてDQXの世界の経済は動いています。