「新作ゲームのサムネイルに、あなたのアバターを使わせてほしい」
こんなDMが、RobloxやDiscordで突然届く。相手のプロフィールは数年前から動いている。作品らしい画像も並び、ゲーム開発チームのメンバーを名乗っている。報酬は数千Robux。無料配布やチートの勧誘ではない。むしろ、自分のアバターが選ばれたようで少しうれしい。
会話を始めても、相手はパスワードを聞いてこない。「パスワードなんて要らないよ。レンダー用のテクスチャだけ欲しい」と言う。説明動画も送ってくる。動画どおりにブラウザを操作し、できたファイルを送るだけだという。
ここで渡すよう求められるのが、HARファイル、ブラウザのCookie、特殊なアバターテクスチャ、開発者ツールから出力した通信記録だ。送った直後には何も起きないこともある。しかし数時間後、Limitedが知らない相手へ移動し、Robuxが減り、メールアドレスや安全設定が変えられる。自分のアカウントから友人へ同じ「GFX依頼」が送られ、今度は自分が詐欺師に見える。
これは架空の都市伝説ではない。Roblox公式ドメイン上のDevForumには、GFXやアバターレンダーを口実にHARを要求された事例、再生数やコメントが付いた説明動画を信じてアカウントを奪われた利用者の報告が残っている。ただしDevForumの投稿は利用者によるコミュニティ報告であり、Roblox社の公式発表ではない。本記事ではそれらの報告とRoblox・Googleの公式文書を分けて扱い、詐欺の再現方法ではなく、見抜き方と被害後の動きだけを具体的に説明する。
最初に覚えること：アバター制作にHARもCookieも必要ない
本物のGFX制作者が必要とするのは、通常、公開されているユーザー名やプロフィール、アバターの見た目、ポーズ、背景、画角、納品サイズなどだ。あなたがRobloxへログインしているブラウザの通信記録は、作品の素材ではない。
Roblox公式の安全案内は、パスワードだけでなく、ブラウザCookie、2段階認証コード、バックアップコード、個人情報、機密性のあるコンピューター情報を誰にも渡さないよう明記している。Robloxの従業員もこれらを求めない。つまり「パスワードは聞かれていない」は安全の証明にならない。
| 相手に求められたもの | GFX制作との関係 | 判断 |
|---|---|---|
| 公開ユーザー名・プロフィールURL | アバター確認に使うことがある | 用途と相手を確認して共有 |
| アバターの通常スクリーンショット | 構図や衣装の参考になる | メールや本名などが映っていないか確認 |
| 希望するポーズ・背景・サイズ | 制作要件そのもの | 通常の打ち合わせ範囲 |
| HAR・ネットワークログ | アバター画像ではなく通信の診断記録 | 送らず、その場で中止 |
| ブラウザCookie | 制作には不要 | 絶対に共有しない |
| 2SV・ワンタイム・バックアップコード | 制作には不要 | 絶対に共有しない |
| Quick Loginのコードや承認 | 相手の端末をログインさせる可能性がある | 自分が開始した操作以外は拒否 |
| 開発者ツール、アドレスバー、コンソールでの特殊操作 | 通常の依頼者側には不要 | 動画を閉じてブロック |
| 見知らぬ拡張機能やファイルの導入 | 通常の素材提出ではない | インストールしない |
| ログイン中の画面共有・遠隔操作 | アカウント情報が映る | 断る |
接触からアイテム移動まで：典型的な詐欺の時系列
以下は、DevForum上の複数のコミュニティ報告で確認できる共通点をつないだ典型例だ。すべての詐欺が同じ順番とは限らないが、危険な要求がいきなり出てくるのではなく、普通の制作依頼に少しずつ混ぜられる点が重要になる。
第1段階：目立つアバターや資産のあるアカウントに声をかける
声をかけられやすいのは、Limitedを身につけている、Robuxを持っていそう、グループを運営している、制作活動をしている、アバターに統一感があるといった利用者だ。もっとも、資産が少なく見えるアカウントでも安全とは限らない。奪ったアカウント自体が、次の被害者へDMを送るための「信用のある外見」として使えるからだ。
相手が作成直後の捨てアカウントとは限らない。すでに誰かから奪った古いアカウントなら、フレンド、バッジ、過去の投稿、所属グループが残っている。プロフィールだけを見て「何年も使われているから本物」と判断すると、最初の防波堤を越えられてしまう。
第2段階：「あなたを選んだ理由」と報酬を用意する
実際のコミュニティ報告には、「チームで開発しているゲームのサムネイル用に、あなたのキャラクターを使いたい」という誘いと、多額のRobux提示が出てくる。よくある誘導文句は次のような形だ。
「新作ゲームのアートに合うアバターを探していた。あなたのキャラを使わせてほしい」
「GFXが完成したら数千Robuxを払う。作業は10分で終わる」
「パスワードは必要ない。あなたのアバターのテクスチャだけでいい」
相手は「得をしたい」という欲だけを狙っているわけではない。「自分のセンスを認められた」「作品づくりを手伝いたい」「失礼な断り方をしたくない」という感情も使う。だから、詐欺に遭った人を「欲に負けた」と責めるだけでは再発を防げない。
第3段階：DiscordなどRobloxの外へ移動させる
Roblox内で始まった会話をDiscordなどへ移す。外部サービスなら、動画、圧縮ファイル、通信ログを送りやすい。相手がアカウントを消したり表示名を変えたりすると追いにくくなり、RobloxのReport Abuseで「違反が行われた具体的なチャット」を選びにくくもなる。
外部サービスへ移っただけで詐欺確定ではない。しかし、移動した直後に「誰にも見せなくていい」「チームの内部手順だから公開しないで」「今日中に必要」と相談や確認を止めてきたら危険度は上がる。
第4段階：説明動画で危険な操作を「作業」に見せる
相手は文章でHARの意味を説明せず、「この動画と同じ操作をして」と言うことがある。DevForumには、約7万回以上再生され、コメントも付いているように見えるYouTube動画を信じたという利用者報告がある。再生数、コメント数、きれいな編集は、その操作が安全だという証拠にはならない。
動画の説明は「普通のスクリーンショットでは服の裏側が取れない」「BlenderやStudioに読み込むため」「アバターの高画質テクスチャを取り出す」といった技術的な言葉で包まれる。警告が表示されると、「ブラウザの仕様だから無視して」「みんな同じ方法を使っている」と不安を打ち消そうとする。
ここで大切なのは、操作の一つひとつを理解して詐欺か判定することではない。依頼者である自分のブラウザから、通信記録やログインに関わるデータを出させようとした時点で中止すればよい。
第5段階：送信後も平静を装い、発覚を遅らせる
ファイルを送ると、相手はすぐ消えるとは限らない。「確認できた」「レンダーに少し時間がかかる」「明日完成版を送る」と会話を続けることがある。被害者が不安になってパスワード変更や全セッション切断を行うのを遅らせるためだ。
その間に、LimitedやRobux、グループ資金が狙われる。メールアドレス、パスワード、セキュリティ設定を変更され、本人が締め出される場合もある。奪ったアカウントからフレンドへ同じGFX依頼を送り、信用の連鎖を利用することもできる。DevForumの報告では、犯人側の別Discordアカウントから「取引を有効にしてほしい」と連絡が来たことを不自然に感じ、被害者が全セッションを切断した例がある。
HARは「画像素材」ではない：Googleが機密情報として扱う理由
HARはHTTP Archiveの略で、ブラウザがどのURLへどんな通信を行い、何が返されたかを記録する診断用ファイルだ。GoogleのChrome DevTools公式文書では、HARを通信リクエストの記録を保存するJSON形式のファイルと説明している。
重要なのは、Chrome自身がHAR内のCookie、Set-Cookie、Authorizationを「sensitive data」、つまり機密データとして扱っていることだ。Chrome 130では、意図しない漏えいを減らすため、標準のHAR出力からこれらのヘッダーを除外する変更が入った。機密情報を含むHARは、利用者が別の設定を明示的に有効にした場合に限って出せる設計になっている。
「今のChromeならCookieが除外されるから、HARを送っても安全」と考えるのも危険だ。古いブラウザや古い動画では挙動が違う可能性がある。Googleの企業向けサポート文書は、HARには記録中に開いたページの内容や、その間に送信した個人情報、パスワード、カード情報などが含まれ得るとして、提出前に機密情報を削除するよう警告している。機密ヘッダーを除外したHARであっても、知らない相手へ丸ごと渡す理由はない。
HARは正規のサポート業務でも使われる。ただし、サービスの正式なサポート窓口が、障害発生時刻や対象ページを限定して取得を依頼し、機密情報の除去方法を案内する状況と、突然DMしてきたGFX制作者がファイル転送を求める状況はまったく違う。
何を渡したかで危険度が変わる
すでに何かを送ってしまった場合は、「パスワードではないから大丈夫」と一括りにせず、渡したものごとに対応する。
| 渡した・実行したもの | 起こり得ること | 直後の対応 |
|---|---|---|
| 公開ユーザー名、公開プロフィールURL | 資産やフレンド、所属グループを調べられ、次の接触材料になる | 追加要求に応じず、プライバシー設定とDMを警戒 |
| 通常のアバタースクリーンショット | 画像単体で即ログインされる可能性は低いが、個人情報やメール通知が映り込むことがある | 画像を見直し、映り込みがあれば関連情報を保護 |
| HAR・ネットワークログ | 出力方法や環境により、セッションや閲覧内容などの機密情報が含まれる可能性 | 事故として扱い、全セッション切断、パスワード変更、端末確認 |
| Cookieの文字列や画面 | ログイン状態を奪われる可能性 | 緊急対応。全セッション切断と公式Support連絡 |
| ワンタイムコード、2SVコード、バックアップコード | ログインや本人確認を突破される可能性 | 全セッション切断、パスワード変更、バックアップコード再生成 |
| Quick Loginコードの入力・QR承認 | 自分が操作していない端末へ完全なアカウントアクセスを許可する可能性 | 全セッション切断。身に覚えのない端末を確認 |
| 拡張機能・アプリ・圧縮ファイル | パスワードを変えても再び情報を盗まれる可能性 | 削除、フルスキャン、再起動、再スキャン後に認証情報変更 |
| ログイン中の画面共有や遠隔操作 | 設定、回復情報、コード、Cookieなどを見られる可能性 | 遠隔接続を切り、導入ソフトを削除して上記の緊急対応 |
RobloxのQuick Loginは、ログイン済み端末から新しい端末へパスワードなしでログインさせる公式機能だ。公式画面でも、承認前に「Grant Full Account Access」と表示される。Robloxは「自分が要求したコードだけを入力し、他人のコードは入力しない」と案内している。「レンダー確認用」「チーム参加用」と言われても、相手が示したコードを入力してはいけない。
送ってしまった直後の15分：この順番で止血する
相手へ「消してください」と頼んでも、複製済みかどうかは確認できない。交渉より先に、アクセスを切る。慌てて証拠を全部消したり、犯人へ脅しを送ったりせず、次の順番で動く。
- 相手との追加操作を止める。次のファイル、認証コード、復旧費用を要求されても送らない。相手のユーザー名、プロフィールURL、DiscordのユーザーID、DM、動画URL、渡したファイル名、日時が見える画面を保存する。
- 不審なセッションを切る。まだRobloxへ入れる端末があれば、Settings（設定）→Security（セキュリティ）→Where you’re logged in（ログイン中の場所）を開く。端末、概算地域、最終アクティブ時刻を確認し、心当たりのないセッションをログアウトする。判断できなければ「Log Out of All Other Sessions」で現在以外を切る。古く情報の少ないセッションがUnknownと表示される場合もあるため、Unknownだけで犯人と断定はしない。
- 端末の汚染を先に除く。相手のファイルや拡張機能を入れた場合、削除して端末をフルスキャンする。Roblox公式は、再起動後にもう一度スキャンするよう案内している。端末に盗み取る仕組みが残ったままパスワードだけ変えると、新しい情報も取られる恐れがある。
- Robloxのパスワードを変更する。ほかで使っていない固有のものにする。同じまたは似たパスワードをメール、Discord、Google、Microsoftなどで使っていたら、それらも安全な別端末から変更する。特にメールを奪われると、Robloxの回復通知まで読まれる。
- 回復情報と安全設定を点検する。登録メール、電話番号、ログイン方法、2SV、パスキーに知らない変更がないか確認する。バックアップコードを見せた、または保存場所を見られた場合は再生成する。Robloxでは新しいバックアップコードを作ると、以前のコードは無効になる。
- 資産の動きを記録する。Robux残高、取引履歴、Limited、購入、グループの役割や資金、制作物の権限を確認する。変化があれば、アイテム名、相手、日時、金額、取引を特定できる情報をスクリーンショットとメモで残す。
- Roblox Supportへすぐ連絡する。アカウントに入れるかどうかにかかわらず、侵害日時、何を渡したか、失ったものを短い時系列で伝える。Report Abuseでは相手のプロフィールだけを報告するのではなく、規約違反が行われた具体的なChat、Private Message、Experience、Contentを選ぶ。Roblox公式は、具体的な内容を報告したほうがモデレーターが違反行為を確認できるとしている。
- フレンドとグループへ別経路で知らせる。「自分のアカウントから届くGFX依頼、ファイル、リンク、Quick Loginコードを開かない」と伝える。詐欺師があなたの信用を使って次の被害者を作るのを止める。
ログインできないとき：所有者確認で重要な証拠
パスワードリセットが通らず、メールアドレスも変更されている場合は、Robloxの公式Supportから回復を申請する。所有者確認についてRoblox公式が特に挙げているのは次の2つだ。
- そのアカウントへ最初に追加したメールアドレス
- そのアカウントで最初の支払いに使用した請求メールアドレス
犯人に登録メールを変えられていても、過去の最初の情報は所有確認に役立つ。ただし、これを提出すれば必ず戻るという保証はない。Robloxはアカウントの詳細を総合的に審査すると説明している。
問い合わせ文は感情だけで長くするより、事実を時間順に整理したほうが伝わりやすい。
ユーザー名：○○
被害推定日時：2026年○月○日、午後○時ごろ（日本時間）
入口：GFX制作を名乗るDM
渡したもの：HARファイル／導入した拡張機能など
最初に確認した異常：メール変更通知、Limitedの移動、知らないセッション
実施済み：端末スキャン、パスワード変更、全セッション切断
失ったもの：アイテム名、Robux、取引日時
所有確認に使える情報：最初に登録したメール、最初の請求メール
DMや取引履歴のスクリーンショットは、侵害の経緯と被害を説明する材料になる。ただしRobloxが「スクリーンショットだけで所有者と認める」と保証しているわけではない。最初の登録メールや請求情報と混同しないことが重要だ。
「30日以内なら全部戻る」は誤り
Roblox公式は、侵害されたアカウントで失われたインベントリ、またはその概算価値を回復できるのは非常に限定された状況だけだと説明している。また、支援を求める場合は、アカウントが侵害されてから30日以内に連絡する必要があるとしている。
この「30日」は、次のような意味ではない。
- 30日以内ならLimitedやRobuxが必ず全額戻る
- 誰でも一度だけ無条件でロールバックしてもらえる
- 証拠がなくても申告だけで元の状態に戻る
- 外部で行った非公式な売買や取引も補償される
アカウントへ再ログインできるようにする「アクセス回復」と、失われたアイテムやRobuxを戻す「資産回復」は別の問題だ。Robloxはどちらも保証していない。また、Robloxの公式システム外で行ったアイテムや通貨の取引については、執行や回復ができないと案内している。
公式文の基準は「気づいてから30日」ではなく、侵害から30日以内だ。被害日時が正確に分からない場合ほど、様子を見ず、異常を見つけた当日に連絡したほうがよい。
被害報告の直後に来る「取り返します」は二次詐欺を疑う
アカウントを失ったとSNSやDiscordへ書くと、今度は「回収できる」「内部の担当者を知っている」「ハッカーに依頼すればLimitedを戻せる」と近づく人物が現れることがある。最初の詐欺師本人や仲間が、困っている被害者をもう一度狙う場合もある。
米国FTCは、すでに詐欺被害に遭った人へ接触し、返金や回収を約束して前金や個人・金融情報を要求する手口を「refund and recovery scam」として警告している。名称が「着手金」「処理費」「保証金」「本人確認料」「成功枠の予約料」に変わっても構造は同じだ。
| 回収を名乗る相手の要求 | なぜ危険か |
|---|---|
| 先に暗号資産、ギフトカード、送金アプリで払う | 取り消しにくい手段で二度目の金銭被害を狙う |
| 最初の登録メールの「アドレスとパスワード」を送る | Robloxが確認に使うのは情報であり、第三者へメールのログイン権限を渡す必要はない |
| 2SV、バックアップ、Quick Loginコードを渡す | 回復ではなく、新しい端末へのアクセスを許す行為になる |
| 画面共有や遠隔操作アプリを入れる | 回復情報や決済情報まで見られる |
| 「100％戻る」「運営より早い」と保証する | Roblox公式でさえ回復を保証していない |
アカウント回復はRoblox公式Supportから行う。DMで現れた自称スタッフ、回収業者、ホワイトハッカーに、認証情報や前金を渡してはいけない。
保護者が確認すること：叱る前に被害の連鎖を止める
子どもがHARやCookieを送ったと打ち明けたとき、最初に責めると、次の異常を隠すようになる。先に端末とアカウントを保護し、その後で経緯を確認する。
- いつ、どのサービスで、誰から連絡が来たかを一緒に時系列にする。
- 動画を見ただけか、HARを送ったか、拡張機能やアプリを入れたか、Quick Loginを承認したかを分けて聞く。
- Robloxのセッション、メール、電話番号、2SV、Robux、Limited、グループ資金を確認する。
- メールやDiscordにも同じパスワードを使っていないか確認する。
- クレジットカード、PayPal、Google Play、Apple、Microsoft、Amazonなどに身に覚えのない請求がないか確認する。
- 証拠を保存し、Roblox公式Supportへ連絡する。
カード、PayPal、Google Play経由の不正なRoblox請求について、Robloxは決済会社へ異議申し立てをする前にRoblox Supportへ連絡するよう案内している。先に決済会社で争うと、決済会社の手続き上、Robloxが直接または即時に返金できなくなる場合がある。一方、Apple、Microsoft、PlayStation、Meta Quest、Samsung、Amazonなど、購入元側で返金を扱う決済もある。明細の請求名と購入元を確認し、公式案内に沿って連絡先を選ぶ。
次のGFX依頼を30秒で判定するチェックリスト
- 作品の用途、掲載先、制作者名、納期、報酬が具体的か
- 公開プロフィールと通常の参考画像だけで話が進むか
- Roblox外へ移動した後、急にファイルやブラウザ操作を求められていないか
- HAR、Cookie、2SV、バックアップコード、Quick Loginが一度でも出ていないか
- 「警告は無視」「動画どおりなら安全」と言われていないか
- ログイン中の画面共有、遠隔操作、拡張機能の導入を求められていないか
- 高額報酬や締切を理由に、第三者へ相談する時間を奪われていないか
- 知っているアカウントからの連絡でも、別の連絡手段で本人確認したか
一つでも認証やブラウザ内部の情報に触れたら、「詳しくないから判断できない」と悩む必要はない。制作に不要なため断る。それで成立しない依頼なら、失って困るものを賭けてまで受ける価値はない。
よくある質問
Q1. HARを送ったけれど、Chromeの「sanitized」と書かれたファイルでした。何もしなくて大丈夫ですか？
安全だと断定しないでください。現行Chromeのsanitized HARはCookie、Set-Cookie、Authorizationなどを既定で除外しますが、HARは通信記録であり、ページ内容など別の情報が残る可能性があります。どのブラウザ、バージョン、設定で出力したか分からない場合もあります。知らない相手へ送ったなら、セッション切断、パスワード変更、資産と設定の確認まで行うのが安全です。
Q2. パスワードも2SVコードも教えていません。それでも乗っ取られますか？
危険は残ります。狙いがブラウザのログインセッションなら、パスワードそのものを聞かないことが詐欺の特徴になります。Roblox公式もCookieをパスワードや認証コードと並べて共有禁止にしています。
Q3. 長年のフレンドから来た依頼なら信用できますか？
そのフレンドのアカウント自体が奪われている可能性があります。いつもの話し方と違う、外部サービスへ急に移す、ファイルやコードを求める場合は、過去に使っていた別の連絡手段で本人に確認してください。
Q4. Quick Loginのコードを入力しただけで、パスワードは渡していません。
Quick Loginは新しい端末へ完全なアカウントアクセスを許可する公式機能です。自分が新しい端末でログインを始めたのでなければ、他人のコードを入力してはいけません。実行済みなら、Where you’re logged inから全セッションを確認・切断し、パスワードと安全設定を変更してください。
Q5. 2段階認証が有効ならCookieを送っても守られますか？
送ってはいけません。2段階認証は強力な防御ですが、「ログイン済みの状態」に関わる情報まで第三者へ渡してよい理由にはなりません。利用できる場合はパスキーやEnhanced Protectionも検討しつつ、Cookieやコードを共有しないことが前提です。
Q6. LimitedやRobuxは30日以内なら戻りますか？
保証されません。Robloxは、非常に限定された状況で失われたインベントリまたは概算価値を回復できる場合があるとし、侵害から30日以内の連絡を求めています。アクセス回復と資産回復は別であり、公式システム外の取引も保護されません。異常を見つけた日に連絡してください。
Q7. 犯人が「返すから取引を有効にして」と言っています。従うべきですか？
従わないでください。追加のアイテム移動や設定変更に使われる可能性があります。会話を保存したうえで、セッションを切り、公式SupportとReport Abuseへ報告してください。
Q8. 本物のGFX制作者は何を受け取れば制作できますか？
公開プロフィール、通常の参考画像、希望する衣装・ポーズ・背景・サイズなどで打ち合わせできます。HAR、Cookie、認証コード、Quick Login、依頼者のブラウザ操作を必要とする時点で、通常の制作依頼の範囲を越えています。
参照情報
- Roblox：Keep Your Account Safe
- Roblox：My account was hacked – What do I do?
- Roblox：Session Management
- Roblox：Add 2-Step Verification to Your Account
- Roblox：Enhanced Protection
- Roblox：Quick Login
- Roblox：How to Report Rule Violations
- Roblox：Unauthorized Charges & Refund Requests
- Roblox DevForum：HARとGFX詐欺に関するコミュニティ警告
- Roblox DevForum：アバターテクスチャを口実にした被害報告
- Chrome for Developers：Network features reference
- Chrome for Developers：Chrome 130のHAR機密情報除外
- Google Chrome Enterprise：HAR提出時の機密情報に関する注意
- FTC：Refund and Recovery Scams