CEDEC 2015で開催されたSECCON 2015横浜予選で、どういうわけか特別審査員とやらエラく大げさな名前のシロモノをやらせていただきました（記事）。

SECCONは簡単に書くと、セキュリティコンテスト、具体的にはどないしてサーバーのセキュリティを破るかといった攻撃をどんだけうまくやるのかとかを競う競技です（優秀な攻撃者はもちろん優秀な防御を考えられるので）。
その予選がCEDECで行われ、ゲームのチートをいかにうまくするか？　が競われたわけです。

詳しい内容はSECCON 2015でも見ていただきたいのですが、簡単に内容を説明しますと、２つのAndroidソフトが渡され（サーバーと通信するもの）、それをチートしろ、という内容です。
クライアント本体をチートする方法は、チェックルーチン潰し・メモリハック・プログラムの書き換えといった、はるか遠い昔、PC88時代から連綿と伝わる伝統芸能が主力で「今も昔もやることは変わらない」と思わず苦笑してしまう感じだったのですが、驚いたのは通信側のチート。
「あーもう条件さえ整えばhttpsなんかカジュアルにハックできてしまうんだ」、「えっ、これだけで攻撃できちゃうの？」と、驚愕の嵐でして、知識として知ってること（"man in the middle"とかで知ってるはずなわけですよ）と、実践の間にはやはり違いがあるなあと、大い勉強になりました。

ただ、どのチートにもちょっと引っかかることがあって、SECCONの最後で「本当に悪質なチートはこのような目立つやり口では行わない、なぜならビジネスだからだ」ということを喋ったのですが、それについてもう少し補足した内容をブログに書き残しておきたいと思います。

韓国で2008-11年に仕事をしていたときチーターとか業者とか呼ばれるみなさんとお話をする機会がありました。
話が出来た理由については、そのうち機会があったら書いてみたいと思うのですが、それはともかくとして、はるか遠い昔、彼らは人間を使っていて、そういう場所は事務所と呼ばれていたそうです。
ところがRMTは結構な金になるもので、2003年頃からRMT業界に中国が低価格を武器に参入してきます。
『高度なサービス』や『安心のアフターケア』などを武器に韓国RMT業者は戦ったのですが、なんといおうと人件費の差はいかんともしがたく、韓国RMT業者は低コスト化を図るために、BOT（自動プログラム）に移行していくことになります。


さて、業者の使うBOTは最初のうちはクライアントをHACKして、コントロールする型だったのですが、そのうち通信を解析して見かけは人間がプレイしているただの通信プログラムが走り、一切普通のゲームクライアントは走らない形になります。
コレになると、もう見かけは全くゲームに見えません。マップだけが表示され、キャラクタ座標とか表示されてるだけの一個のウィンドウで、ものすごく小さくて、せいぜい数メガバイトのソフトで１台のPCの上で、仮想クライアントになって20アカウントとか30アカウントとか動きます。


もちろんチートなわけですが…これらのBOTのとても大きな特徴は、できるだけ人間そっくりの挙動をして超越プレイなどしないことでした。つまり日本で考えられるハイスコアだのなんだのを書き換えて…とかスピード加速してといったチートからは程遠い、地味な人間とほとんど同じように見えるプレイをするBOTばかりでした。
どれぐらい人間的かというと、狩場でしばらく止まったり、同じコースを通らなかったり、動きにランダム性があったり、ログインしてからちょっとウロウロしたり、チャットでちょろっと喋ったり。動いている画面はカケラも人間性はありませんが、とことん人間みたいな動きで、稼ぐ金や経験値もちょっと（かなり）うまい人間ぐらいで、目立つ馬鹿げたプレイはしません。24時間動き続けるとか、そんなことはカケラもしません（もちろん、コンピュータが操作していますからやろうと思えば超越プレイも出来ますが、全くやっていなかったということです）。

なぜそんな風に動かすのか？　それはビジネスだからです。
当たり前ですがアカウント作ってます（この当時、RMTの中心はMMOで月額課金がまだ主流だった）。次にレベルアップにも時間はかかります。つまりレベルを上げRMTを出来るところまでキャラクタを育てるのに、それなりの資本が投下されているわけです。

その大事なキャラクタを簡単にBANされるわけにはいきません。だから運営が人間なのか、それともBOTなのかを迷うようにしなければならないのだ、運営にバレるようなBOTは二流である、みたいなことを、その時、業者の方からものすごく力説されましたｗ
なんか業者にそーいうこと語られても困るってのは言うのナシですｗ

そんなわけでSECCONで「金儲けのチートはバレないようにやるから怖いよ」ということをすこししゃべりましたが、それは正確には『金を稼ぐためのチートは素人のヤツと違い、派手なことをしない。だから例えば脆弱性があってもバレないように静かに使うので運営が気が付かない可能性が高く、最終的な被害はより大きな可能性が高い。だから怖いのである』という事だったのです。