ゲームコミュニティのなりすまし・詐欺対策｜偽運営DMを防ぐ公式連絡ルール

2026年10月29日

ゲームコミュニティのなりすまし対策は、「怪しいDMに注意してください」と呼びかけるだけでは足りません。攻撃者は運営者と似た名前や画像を使い、「当選確認」「違反の確認」「限定テストへの招待」など、急いで反応したくなる理由を作れます。文章が自然でも、送信者が本物とは限りません。

運営者が先に決めるべきなのは、参加者がメッセージの見た目を見抜く方法ではなく、本物の連絡が必ず満たす条件です。公式連絡を送る場所、運営がDMで求めない情報、正しいURLの確認先、疑わしいときの通報先を固定すれば、参加者は内容ではなく手順で判断できます。

Stult Partyなら、ゲーム募集、チャット、ボイスを一つのコミュニティへまとめて無料で始められます。活動と運営案内の確認場所を集約し、外部DMで届いた内容を公式のチャットへ戻して確認する導線を作れます。本記事では、予防から発生後の復旧までを運営者向けに解説します。

本物を見分けさせるのではなく、公式経路へ戻って確認できる仕組みを作ります。

偽運営DMが使う5つの誘導

手口の名前を覚えるより、参加者に何をさせようとしているかで分類します。

1. ログインさせる：再認証、違反確認、アカウント連携を装う
2. 送金させる：参加費、保証金、当選手数料を装う
3. コードを渡させる：認証コード、復旧コード、招待コードを聞く
4. ファイルを開かせる：大会資料、MOD、画像、対戦表を装う
5. 別の会話へ移す：個人DM、外部SNS、通話へ誘導する

緊急性、権威、限定性、好意を使う点が共通します。「今日中に確認しないと退出」「運営だけの特典」「あなただけ当選」といった表現があっても、文面の真偽を議論せず公式経路へ戻します。

フィッシング対策協議会の2026年度版ガイドラインは、生成AIを使った自然な文章や個別化により、従来の不自然な日本語だけでは見分けにくい状況を説明しています（利用者向けフィッシング詐欺対策ガイドライン2026年度版）。誤字を探す教育より、公式経路から確認する手順を教えるほうが再現性があります。

要求される行動で分類すると、文面が変わっても同じ確認手順を使えます。

最初に「公式連絡ルール」を公開する

参加者へ次の5項目を一枚で示します。

【公式連絡ルール】
1. 運営からの重要連絡は［公式チャット名］にも掲載します
2. DMだけでパスワード・認証コード・支払情報を求めません
3. ログイン先は［公式URL一覧］から開いてください
4. 急ぐよう求められても、リンクを開く前に公式チャットで確認できます
5. 疑わしい連絡は［通報窓口］へ画像ではなく送信者・時刻・URLを報告してください

「運営はDMしません」と断言するなら、例外を作ってはいけません。個別対応が必要なら、「DMを送る場合も、先に公式チャットで担当者名と開始時刻を通知する」のように、検証可能な予告を置きます。ルールと実際の運用が違うと、攻撃者が例外を装えます。

警察庁は、メールやSMS内のリンクを安易に開かず、ブックマークや公式アプリから正しいサイトへ接続するよう案内しています（警察庁・フィッシング対策）。コミュニティでも、DM内のリンクを評価するのではなく、固定した公式URL一覧から開き直すルールにします。

重要連絡の場所、求めない情報、URL確認先、確認方法、通報先を固定します。

公式URL一覧は一か所だけを正本にする

URL一覧が複数の投稿やプロフィールに散らばると、古いリンクが残ります。正本を一つ決め、他の場所からは正本へリンクします。

httpsや鍵マークだけで本物とは判断できません。似た文字を使った別ドメインもあり得ます。Microsoftも、表示名ではなく送信元アドレスや微妙に異なるドメインを確認し、疑わしい場合は公式サイトに掲載された連絡先を使うよう案内しています（Microsoft・フィッシングから身を守る）。

Stult Partyを活動の中心にする場合、参加案内や募集に載せる外部URLを必要最小限にし、公式チャットから正本を確認できるようにします。外部サービスを使わないという意味ではなく、どのリンクが現役かを参加者が迷わない状態にします。

運営アカウントの権限を分ける

なりすまし対策とアカウント乗っ取り対策は別ですが、同時に設計します。運営者本人のアカウントが奪われると、表示名や過去の会話だけでは偽物と判断できません。

• 所有者、日常管理、案内投稿を同じ権限にまとめない
• 重要アカウントでは多要素認証またはパスキーを有効にする
• 復旧先を退任者個人のメールだけにしない
• 管理者一覧を月1回確認する
• 共有パスワードで一つのアカウントを使い回さない
• 退任時は所有権移管後に旧アクセスを止める

フィッシング対策協議会の2026年度版は、技術で守る基本行動として多要素認証やパスキーなどを挙げています。認証方式は各サービスの現行仕様を確認し、利用可能な保護を有効にします。

具体的な交代手順はゲームコミュニティの運営引き継ぎを参照してください。権限を増やすだけでなく、誰が重要告知を出せるか、誰が復旧できるかを分けます。

所有、日常管理、案内投稿、通報受付を分け、単一アカウントへの依存を減らします。

通報フォームは「判定」より証拠保全を優先する

参加者へ「詐欺かどうか判断してから報告してください」と求めると、迷った案件が届きません。疑わしい時点で報告できるようにし、次の項目だけ集めます。

report_id
received_at        受領日時
reporter_contact   返信先
sender_id          送信者の識別子
channel            DM／チャット／SNSなど
message_time       受信日時
requested_action   ログイン／送金／コード／ファイル／移動
target_url         表示文字ではなく実URL
clicked            開いたか
data_entered       情報を入力したか（内容そのものは書かない）
status             new／triaged／contained／notified／closed

パスワード、認証コード、カード番号を通報欄へ入力させてはいけません。スクリーンショットだけでは送信者IDや実URLが欠けるため、可能な範囲でテキスト情報も集めます。記録へのアクセスは対応担当に限定し、不要になった個人情報を持ち続けない運用を決めます。

通常の違反通報と判断基準はゲームコミュニティのルール作りで解説しています。なりすまし案件では、加害者の意図を確定する前でも、リンクの非公開化や注意喚起など被害拡大を止める措置を優先します。

秘密情報を集めず、送信者、時刻、要求行動、実URL、接触結果を記録します。

発見後10分の初動

最初の10分は、犯人を特定するより接触者を減らします。

0〜2分：公式性を否定する短い告知

「現在、運営を装うDMを確認しています。DM内のリンクを開かず、公式URL一覧から確認してください」と掲載します。未確認の被害人数や攻撃者像は書きません。

2〜5分：リンクと送信者を保全・制限

送信者ID、投稿時刻、実URLを記録し、可能な範囲で投稿の非公開化、送信者の制限、サービスへの報告を行います。証拠を残す前にすべて削除すると、対象範囲の確認が難しくなります。

5〜10分：接触状況で案内を分ける

• 見ただけ：リンクを開かず削除・報告
• リンクを開いた：公式サイトからアクセス履歴を確認
• IDやパスワードを入力した：公式サイトから変更し、他サービスの使い回しも変更
• 認証コードを渡した：セッションや端末を確認し、公式サポートへ連絡
• 送金した：決済事業者、金融機関、警察など適切な窓口へ早急に相談

フィッシング対策協議会は、疑わしいサイトへ情報を入力した場合、公式サイトや公式アプリからパスワードを変更し、アクセス履歴を確認するよう案内しています（今すぐできるフィッシング対策）。個別の被害対応は状況によって異なるため、運営者だけで断定せず公式サポートや公的窓口につなぎます。

告知、証拠保全、接触状況別の案内を並行して進めます。

復旧告知は複数経路で同じ内容を出す

攻撃者が一つのアカウントを乗っ取った可能性があるとき、そのアカウントだけで「復旧しました」と告知しても信頼できません。公式チャット、Webサイト、別管理のSNSなど、事前に決めた複数経路で同じ識別情報を出します。

フィッシング対策協議会の事業者向け2026年度版も、注意喚起をメールだけでなく、正規サイト、公式アプリ、SNSなど複数の経路で伝える考え方を示しています（フィッシング対策ガイドライン2026年度版）。

【復旧状況のお知らせ】
確認日時：10月29日 21:30
影響範囲：運営名を装った外部DM
公式でない要求：外部URLからの再ログイン、認証コードの送信
現在の状態：対象を報告し、公式URL一覧を再確認済み
参加者の行動：DM内リンクではなく［公式確認先］を利用
次回更新：22:30（変化がなくても更新）

「安全です」とだけ書かず、確認した範囲と次回更新時刻を示します。原因調査中でも、参加者が今取るべき行動は先に伝えられます。

検知、封じ込め、注意喚起、復旧確認、再発防止を別状態で管理します。

月1回、3分で行う確認

• 公式URL一覧を実際に開く
• 運営者名と権限一覧を確認する
• DMで求めない情報の文言を再掲する
• 通報窓口が受信できるか試す
• 復旧告知を出す代替経路へログインできるか確認する
• 退任者や停止サービスのリンクを削除する

大規模な訓練は不要です。「偽の当選DMが届いた」という想定で、誰が告知し、誰がURLを確認し、誰が通報を受けるかを3分で読み合わせます。担当が一人でも欠けたら止まる工程があれば、代替担当を追加します。

まとめ：参加者の注意力ではなく、公式確認の手順で守る

なりすましメッセージは、文面や表示名だけで完全に見抜けません。公式連絡ルール、URLの正本、権限分離、秘密情報を集めない通報、発見後10分の初動を事前に決めてください。

Stult Partyなら、ゲーム募集、チャット、ボイスを一つのコミュニティへまとめて無料で始められます。活動場所と運営案内の確認場所を集約し、外部DMで届いた要求を公式チャットへ戻して確認できる導線を作りましょう。まず今日、「運営がDMで絶対に求めない情報」と「正しいURLの確認場所」を参加案内へ追記してください。