先日の、不正請求と思われる Google Wallet での決済に関する続報です。
過去のエントリはこちらとこちら：

Google Wallet チームからメールが届きました。内容は「銀行やカードの会社から chargeback（返金）してもらえ」というもの。つまり不正利用された分が請求されることが確定したらしいとのこと。　実際にカード会社のオンライン明細を確認すると確かに記録されていました。ふーん・・・「Google 側に問題はなかったのか？」と、なんとなく釈然としない所もあったけど、とりあえずはカード会社に電話連絡、と。

今回の不正請求で自分が購入したことになっている、と明細に記録されていたのは "Clash of Clans" などのゲームを制作・販売している SuperCell というゲーム会社の製品でした。１つ謎だったのはどこかにいる犯人は何を狙っていたのか、ということです。仮に情報をハックできていたとしても、僕のクレジットカードを使って購入したら商品は僕の元に届くわけで、それで一体何の狙いがあったのか謎でした。なお以前のブログエントリで僕が購入したことになっている商品が "Gems" だと記載しましたが、これもゲームの名前だったことがわかっています。

とりあえずカード会社経由で請求分をキャンセルするか、あるいは返金するような手続きを取っていただけることになりました。が、その会話の中で分かったのですが、「この SuperCell という会社からの不正請求報告が最近増えている」のだそうです。それは聞き捨てならんな・・・

というわけで「Google Supercell 請求」あたりでググってみると・・・、確かに同様の Supercell 絡みの被害報告がたくさん見つかります。全て Google Play 絡み、ということはカードの情報そのものが流出したというよりも、Google のアカウントがハックされたと考えるべき？？

また犯人の狙いも少し分かった気がします。この Clash of Clans というゲームはいわゆる「アイテム課金」型のゲームで、リアルマネーを払うことでゲームを有利にすすめるためのアイテムが購入できます。つまり僕のカードを使って購入したものは物理的なアイテムではなく、ネットゲーム内で使える課金アイテムの購入に充てられた可能性があります。それなら住所が僕のものになっていても（犯人は既にアイテムを入手しているでしょうから）不思議ではありません。ちょっと納得できた気がします。

と、日本でも多く報告されている類似事例や、Google Play で扱っているゲームの課金アイテムの購入に充てられた可能性を考えた場合、やはりクレジットカード情報が流出したというよりは、Google アカウントがハックされたか、Google アカウントが流出し、そこから Google Play にログインして、Google アカウントに紐付けられたクレジットカードを使って、課金アイテムなど配達不要のものを購入した、という可能性を考える方が筋も通って現実的な気がしています。

一応念のため今のクレジットカードは解約して新しいカードを発行して、Google アカウントに紐づくクレジットカード情報も新しいものに更新すれば大丈夫かな・・・と思っていたのですが、よく考えたら何が怖いって、もし上記の推測が正しく Google アカウントそのものがハックされている場合（または流出していた場合）、アカウントに新しく発行したクレジットカードを紐付けても、その直後からすぐに使われてしまう可能性がある、ということです。　これを自力で予防するにはアカウントにカードを紐付けないようにするしかないんですが、でも AppEngine とか各種 API とか、有料か無料かはともかくクレジットカードを登録しないと使えない Google サービスもあったりするので、そこがまた悩ましいというか・・・

とりあえず Google アカウントのパスワードはより複雑なものに更新しておきました。単純ですが、アカウントがハックされていたのだとしたら、これも有効な対策になりえるので。