OnlyFans が乗っ取られ 8,700 人の購読者が危険に: 23 時間で止めた方法

ロサンゼルス在住 27 歳のクリエイターは、モデルとフィットネスのコンテンツで OnlyFans に 8,700 人の有料購読者を築いていました。フィッシング攻撃でアカウントを奪われます。加害者は 1 万ドルを要求し、全コンテンツを無料のトレント系サイトに放流し、購読者全員へ本名、自宅住所、電話番号をメールで送ると脅しました。OnlyFans のサポートは回答までに 48 時間と案内しました。慌てた彼女は誠意の表明として 3,000 ドルを支払いました。要求は続きました。

Altahonos はプラットフォームへの直接エスカレーション経路を使い、通常の OnlyFans サポートを迂回して緊急のアカウント復旧を開始しました。トレント系サイトとコンテンツ系プラットフォームを同時にカバーするため、DMCA とプライバシーを組み合わせた削除要請の準備を整えました。個人メールの二段階認証を設定しました。購読者の不安を抑えるための告知文を作成し、公開しました。

築いたものすべてが危険にさらされた

2 年かけて築いたものでした。有料購読者 8,700 人。コンテンツと、その背後の人格を信頼してもらえたからこそ成り立っていたモデルとフィットネスのブランド。本当の身元は切り離してありました。その切り離しが、ほかのすべてを支える土台でした。

ある朝、ログインできなくなりました。

乗っ取り

フィッシングのメールは、十分に本物らしく見えました。一度のクリック、入力した認証情報、奪われたアカウント。何が起きたか気づいたときには、OnlyFans の中に別の誰かがいました。

メッセージはすぐに届きました。「1 万ドル。払わないなら全部を無料のトレント系サイトに放流する。それに購読者 8,700 人全員へ、お前の本名と自宅住所と電話番号をメールで送る」

二つの脅しが同時に来ました。コンテンツの脅しもひどいものです。身元の脅しは、取り返しがつきません。

すぐに OnlyFans のサポートへ連絡しました。回答までの目安は 48 時間と案内されました。加害者がアカウントの中にいて、購読者の受信箱までクリック一つの状態で、48 時間です。

慌てて 3,000 ドルを送金しました。誠意の表明だと考えました。プラットフォームが動くまでの時間を買うつもりでした。

何も買えていませんでした。

身元の脅しこそが本当の危険だった理由

クリエイターのアカウント乗っ取りでは、コンテンツが主な懸念だと思われがちです。実際には、オンライン上の人格と本当の身元を切り分けて活動しているクリエイターにとって、身元の脅しのほうがはるかに深刻です。

コンテンツは DMCA で下げられます。トレントへのアップロードは通報して削除できます。しかし本名、住所、電話番号がいったん数千の受信箱へ届けば、その情報は呼び戻せません。見知らぬ数千人の手元に残り続けます。

彼女はそれを理解していました。1 万ドルの要求はほとんど二の次でした。8,700 人の購読者へ身元が届くのを防ぐことが最優先でした。

当社が行ったこと

通常の OnlyFans サポートでは遅すぎました。当社はプラットフォームへの直接エスカレーション経路を使い、通常の待ち行列を完全に迂回して緊急のアカウント復旧を開始しました。これは公開されている経路ではありません。どこへ、どう緊急性を示して持ち込むかを知っている必要があります。

アカウント復旧を進めるあいだに、DMCA とプライバシーを組み合わせた削除要請の準備を整えました。加害者がすでにトレントや無料サイトへコンテンツを上げていれば、特定できたすべてのプラットフォームへ直ちに削除要請を提出できる状態です。

最初のフィッシングの入口だった個人メールのアカウントを、二段階認証で固めました。同じ弱点が二度目に使われることはありません。

購読者向けの告知を作成し、公開しました。「アカウントは一時停止中です。近日再開します」。短く、落ち着いた、詳細のない文面です。アカウントに入れないあいだ、購読者の混乱と解約を防ぐのに十分なだけの内容です。

23 時間後

Altahonos への相談から 23 時間以内に、アカウントへのアクセスが完全に復旧しました。

本名、住所、電話番号が届いた購読者は 0 人です。身元の脅しは、実行される前に解消されました。

加害者への追加の支払いはありません。復旧中に届いた二度目の要求は無視しました。

セキュリティを固めるため、アカウントは 1 か月ほど休止しました。その期間の機会損失は 2,400 ドル前後と見積もられます。それ以外は無傷でした。

クリエイターにとって、資産とは身元です

この案件が示すのは、クリエイターのアカウント特有のことです。身代金が本当の脅威であることはまれです。本当の脅威は、取り消せないもののほうです。

コンテンツは削除できます。アカウントは復旧できます。しかし本当の身元は、数千人の購読者へ配られてしまえば取り戻せません。

プラットフォームへのエスカレーションと身元の保護を組み合わせれば、一度の動きで両方を扱えます。通常のサポートではそうなりません。

クリエイターのアカウントを奪われたなら

支払わないでください。誠意の表明としての支払いは、応じる意思を示すだけで、脅しを止めません。脅しが進行しているなら、通常のプラットフォームサポートを待たないでください。