Robloxの乗っ取りは二段階認証では止まりません｜公式の強化保護と、似たアドレス375件の調査

「友達からリンクが届いて、ログイン画面が出たから入れた」。
この一手で、二段階認証を設定していてもアカウントは渡ります。

セキュリティ会社のNordVPNが2026年10月29日に出した調査では、Robloxを装った偽サイトが7日間で196件動いていました。
偽のログイン画面は二段階認証のコードまで入力させ、詐欺師がその場で本物のRobloxに打ち込みます。

コードを人が手で入力する方式は、全部この手口を通します。
では何を変えれば止まるのか。Roblox自身が答えを公開していて、その名前は「強化保護」といいます。

この記事では、公式が出している止め方を全部並べたうえで、当サイトがその日に自分で数えた3つの数字を足します。

公式に似たアドレスを375件引いたら、88件が生きていました。
そのうちRoblox側に向いていない80件を、遮断用のDNSは1件も止めていませんでした。

乗っ取りが成立する場所は、Robloxの中ではありません

偽サイトが盗んでいるのは、パスワードだけではありません。
二段階認証のコード、バックアップコード、PINまで、同じ画面で続けて入力させます。

詐欺師は、入力された値をその場で本物のRobloxに打ち込みます。
コードの有効時間は数十秒ありますから、人が横で待っていれば十分に間に合います。

入り口は、友達から届くリンク

NordVPNの発表によれば、偽のログイン画面へのリンクはすでに乗っ取られた友達のアカウントから送られてくるケースが多いとされています。
送っている本人には自覚がありません。乗っ取られたアカウントが、知り合い全員にリンクを配っている状態です。

子どもにとっては、知らない人からの怪しいメールではなく、いつも一緒に遊んでいる相手からのメッセージです。
「怪しいリンクを踏むな」という教え方が効きにくいのは、ここが理由です。

偽の画面は、いま遊んでいるゲームまで真似る

NordVPNの最高技術責任者は、偽ページが子どもが数分前まで遊んでいたゲームを、プレイ回数まで再現していると述べています。
メニューもフォントも配置も本物と同じで、画面の中に不自然な点が無いことも少なくありません。

「普通にログインできた」ように見えてしまう理由

入力が終わると、利用者は本物のRobloxに転送されます。
画面上は、普通にログインできたのと区別がつきません。

異変が出るのは、Robuxが使われたときやアイテムが消えたときです。
NordVPNは、気づくのが数週間後になるケースが多いとしています。この「数週間」が後で効いてきますので、覚えておいてください。

乗っ取りが成立するまでの4手

順番	画面で起きていること	同時に、裏で起きていること
1	IDとパスワードを入力する	詐欺師が本物のRobloxにそれを打ち込む
2	二段階認証のコードを求められる	本物の側がコードを送り、本人の端末に届く
3	届いたコードを偽の画面に入力する	詐欺師がそのコードを本物に打ち込み、ログインが通る
4	本物のRobloxに移動し、普段どおりに見える	詐欺師の側にも、ログインできた状態が残る

※ 手口の流れはNordVPNが2026年10月29日に公表した内容によります。表の形と言い回しは当サイトで組み直しています。

この4手のどこにも、技術的に難しいことはありません。
難しいのは、2手目で届いたコードが「本物から届いた本物のコード」だという点です。コードそのものを見ても、偽物かどうかは判断できません。

二段階認証そのものの仕組みと、方式ごとの強さは二段階認証とパスキーの設定方法に書いています。

公式に似たアドレスを375件引いて、生きているものを数えました

名前の作り方	引いた数	生きていた数	Roblox側に向いていた数
末尾だけ違う（roblox.◯◯）	15	12	4
文字の置き換え（lをiに、oを0に）	90	17	0
文字の増減・入れ替え	135	42	0
語を足す（無料・ログインなど）	135	17	4
合計	375	88	8

※ 2026年11月3日に当サイトが調べた数です。「生きていた」はDNSでIPアドレスが返ってきたもの。「Roblox側」は、公式が押さえているアドレスと同じサーバーに向いているか、登録記録で公式と同じ登録業者だと確かめられたものです。

NordVPNの発表には、偽のアドレスの例として「robiox」（小文字のエルを、アイに置き換えたもの）が挙げられていました。
では、そういう綴りは実際にどれだけ取られているのか。当サイトで機械的に作って、1件ずつ引いてみました。

25通りの綴りに、15の末尾を掛けました

作り方は4通りです。末尾だけを変える、文字を似た形に置き換える、文字を足したり減らしたり入れ替える、前後に語を足す。
そこに「.com」「.net」「.xyz」など15の末尾を掛けて、375件になりました。
この375件には、公式サイトそのものも1件として入っています。

生きていたのは88件でした

375件のうち、IPアドレスが返ってきたのは88件です。
残りは登録されていないか、登録されていてもサーバーが立っていません。

そのうちRoblox側のサーバーに向いていたのは、8件だけでした。
残り80件は別のサーバーを指していて、52件は開くと応答が返ってきます。

公式が自分で押さえている名前には、傾向があります

Roblox側に向いていた8件のうち、4件は「無料」「ログイン」を含む名前でした。
子どもが引っかかりやすい語を、会社側が先回りして自分で取っているということです。

残り4件は、公式サイトそのものと、綴りが同じで末尾だけが違うものです。
つまり押さえているのは「分かりやすい名前」と「主要な末尾」の2種類だけです。

作り方ごとに、守られ方がまったく違います

名前の作り方	生きている数と、Roblox側の数	読み取れること
末尾だけ違う	12件のうち4件	主要な末尾は押さえ、それ以外は別の持ち主の手にある
語を足す	17件のうち4件	「無料Robux」型の名前は、会社が先に押さえている
文字の置き換え	17件のうち0件	目で見て気づけない綴りが、1件も押さえられていない
文字の増減・入れ替え	42件のうち0件	打ち間違いで着く先も、同じく押さえられていない

※ 同じ日の調査です。件数は「生きていたもの」に対する内訳で、引いた数に対するものではありません。

いちばん危ない綴りが、いちばん空いています

エルをアイに変えた綴りも、文字を1つ増やした綴りも、Roblox側に向いているものは1件もありませんでした。
この2つだけで59件が生きていて、そのすべてが別のサーバーを指しています。

「無料Robux」のような分かりやすい名前は会社が押さえています。
ところが、本物と見分けのつかない綴りのほうは空いたままです。そして子どもが踏むのは、後者です。

打ち間違えた先で、何が待っているか

Roblox側に向いていない80件のうち、7件は今、オンラインカジノやスロットのサイトでした。
表題で分かるものだけを数えた件数です。

そのうちの1件は、NordVPNが例に挙げた「robiox」そのものでした。
7件の宛先はばらばらで、メキシコ向け、インド向け、インドネシアの決済に合わせたものが混ざっています。

別の1件は、ドメインの売買サイトで「売り出し中」と表示されました。
買った人が何に使うかは、買った人が決めます。いま無害でも、来月も無害とは限りません。

この調査で分かることと、分からないこと

この88件が偽のログイン画面を出していた、という話ではありません。
当サイトが数えたのは「公式に似たアドレスが、どれだけ公式の手を離れて生きているか」です。

NordVPNが7日間で196件の偽サイトを数えられたのは、この空き具合があるからだといえます。
名前はいくらでも作れて、しかも空いています。

守り側のDNSは、この80件をいくつ止めているか

引いた先	何をするものか	80件のうち止めた数
ふつうのDNS（1.1.1.1）	遮断しない。比べるための基準	0件
Cloudflareの遮断用DNS（1.1.1.2）	マルウェアに使われている既知のアドレスを遮断する	0件
AdGuard DNS	広告とトラッカーの既知のアドレスを遮断する	0件

※ 2026年11月3日に当サイトが調べた数です。2つの遮断用DNSが実際に働いていることは、提供元が用意している確認用のアドレスを引いて確かめています（どちらも 0.0.0.0 を返しました）。

前の節で数えた80件を、今度は守り側のDNSに引いてみました。
家庭でも設定できる、無料の遮断用DNSです。

止めた件数は、どちらも0件でした

80件すべてが、そのまま通りました。
ふつうのDNSと同じ答えが返ってきます。

遮断の仕組みが壊れているわけではありません。
確認用のアドレスを引くと、どちらも正しく遮断しています。働いていて、そのうえで80件を通しています。

なぜ通るのかは、各社の説明に書いてあります

CyberGhostは自社の機能説明で、コンテンツブロッカーが遮断するのは「マルウェア、トラッカー、広告が含まれる既知のドメイン」だと書いています。

Surfshark も同じ書き方で、DNSの絞り込みで止めるのは「既知の広告・トラッカー・悪質なドメイン」だとしています。

鍵になるのは「既知の」という3文字です。
名簿に載っているアドレスは止まります。昨日立ったアドレスは、名簿に載るまで止まりません。

7日間で196件という速さは、名簿の更新より速いということです。

名簿で止める仕組みが向いている相手・向いていない相手

相手	名簿で止まるか	理由
広告・トラッカー	止まる	同じアドレスを長く使い続けるため
前から知られているマルウェアの配布元	止まる	報告が蓄積していて、名簿に入っているため
立ったばかりの偽ログイン画面	間に合わないことがある	名簿に載る前に使われ、使い終われば捨てられるため

※ 当サイトが調べたのは2026年11月3日の1回ぶんです。同じアドレスでも、後日には遮断されることがあります。

広告の遮断そのものの話はVPNの広告ブロック機能にまとめています。

遮断を入れる価値が無い、という話ではありません

名簿に載っているものは確実に止まります。入れておく価値はあります。
ただし「遮断を入れたから、偽のログイン画面は踏まない」とは考えないでください。

この記事で止めにいくのは、踏んだ後です。
踏んでも乗っ取りが成立しない形に、アカウント側を変えます。

二段階認証の方式ごとに、この手口が通るかどうか

方式	何を入力するか	偽の画面に打ってしまったら	パスワードの流出には
メールに届くコード	6桁の数字	そのまま使われる	効く
認証アプリのコード	6桁の数字	そのまま使われる	効く
バックアップコード	保存してある文字列	そのまま使われる	効く
パスキー	入力する文字が無い	打つものが無く、偽の画面では成立しない	効く
ハードウェアキー	鍵に触れるだけ	打つものが無く、偽の画面では成立しない	効く

※ 方式の呼び名と対応状況は、Robloxのヘルプ記事「アカウントに2段階認証を追加」（2026年11月3日に確認）によります。可否の判定は、各方式が何を入力させるかから当サイトで整理したものです。

上の3つと下の2つの違いは、強さではなく「入力する文字があるかどうか」です。

人が読んで打ち込む値は、どこに打ち込まれたかを知りません。
本物の画面に打てば本物に、偽の画面に打てば偽に渡ります。値そのものは同じです。

パスキーとハードウェアキーだけが、構造として通りません

パスキーは、鍵の本体が端末から出ません。
やり取りするのは「いま開いているアドレス」と結びついた署名で、別のアドレスでは成立しません。

だから、偽の画面でパスキーを使おうとしても渡せるものがありません。
注意力の問題ではなく、仕組みの問題として通らないという意味です。

Robloxは、二段階認証の方式を一度に1つしか選べません

Robloxのヘルプ記事には、「現時点では、一度に選択できる2段階認証方法は1つだけです」と書かれています。

メールと認証アプリを両方オンにしておく、という使い方はできません。
どれか1つを選ぶ以上、「どれを選ぶか」が全部です。

選ぶときの順番

認証アプリの選び方と設定の手順は二段階認証とパスキーの設定方法に、パスワードの保管はパスワード管理アプリの比較に書いています。

パスキーを入れると、コードを聞かれなくなります

Robloxのヘルプ記事には、「パスキーを使用してログインすると、2段階認証プロセスが回避される」と書かれています。

これは守りが弱くなったのではなく、弱いほうの確認を省いているという意味です。
入力する文字がある方式より、パスキーのほうが強いためです。

公式の「強化保護」を入れると、何が無効になるか

ログインの手段	強化保護を入れる前	入れた後
メールに届く6桁のコード	二段階認証として使える	無効になる
認証アプリの6桁のコード	二段階認証として使える	無効になる
パスワードでのログイン	コードを足せば通る	パスキーかハードウェアキーの確認が必要になる
パスキー	使える	主な手段になる
ハードウェアキー	認証アプリと併用で使える	対応する端末で、そのまま使える

※ Robloxのヘルプ記事「強化保護：フィッシング耐性の高いアカウントのセキュリティ」（日本語版・2026年11月3日に確認）に書かれている内容を、表に組み直したものです。

Roblox自身が、この手口を通さない設定を用意しています。名前は「強化保護」です。

やっていることは単純で、人が打ち込む6桁のコードを、仕組みごと使えなくします。
打ち込む文字が無くなるので、偽の画面に渡せるものが無くなります。

入れるために必要なもの3つ

入れ方は、設定からセキュリティに進むだけです

STEP1　Robloxにログインして、設定を開く

ブラウザなら画面の右上の歯車、アプリなら3点のアイコンから歯車に進みます。

STEP2　セキュリティのタブを選ぶ

二段階認証の設定も、バックアップコードの発行も、同じ場所にあります。

STEP3　「強化保護」の欄を探す

必要なものがそろっていない場合は、画面に足りないものが出ます。先にそちらを済ませてください。

STEP4　オンにする

切り替えたあとは、メールと認証アプリのコードは二段階認証として使えなくなります。

オフに戻すこともできます。ただし戻すときは、パスキーかハードウェアキーでの確認が求められます。

入れる前に、必ずやっておくこと

パスキーは、失くすことがあります。端末の故障、機種変更、ハードウェアキーの紛失。

Robloxのヘルプ記事には、二段階認証を有効にしている状態で主な手段を失うと、アカウントに登録されている2種類の異なる認証方法が復旧に必要だと書かれています。
足りないと、戻れなくなる可能性があります。

復旧の手段を2つ用意する

用意するもの	何の役に立つか	設定の場所と対象
電話番号を追加する	本人確認の別の経路になる	アカウント情報のタブ。13歳以上
パスキーを追加する	コードを使わずにログインできる	アカウント情報のタブ。全年齢
バックアップコードを保存する	他の手段を失ったとき、1回だけ使える	セキュリティのタブ。全年齢

※ Robloxのヘルプ記事「アカウントに2段階認証を追加」（日本語版・2026年11月3日に確認）に載っている表を、当サイトで並べ直したものです。

バックアップコードは一度しか表示されません。紙に書くか、パスワード管理アプリに入れてください。
そしてそのコードも、偽の画面に打てば渡ります。保管するものであって、入力するものではありません。

13歳未満の子どもは、電話番号を追加できません

上の表のとおり、電話番号の追加は13歳以上が対象です。
小学生のアカウントで用意できる復旧手段は、パスキーとバックアップコードの2つになります。

NordVPNの発表では、FTCに寄せられたRobloxに関する苦情の61%が8〜12歳、18%が4〜7歳の子どもに関するものでした。
いちばん狙われている年齢層が、いちばん手段の少ない層です。両方そろえてから切り替えてください。

乗っ取られたあとに効く「遅延アクション」

何が起きるか	中身
操作が止まる	強制的な待ち時間（通常は数時間）が始まり、その間その操作は拒否されます
通知が飛ぶ	登録済みのメールアドレスと、他の有効な端末のアプリ内通知に届きます
本人が止められる	「いいえ、私ではありません」を選ぶと、不審なセッションがログアウトされます
対象になる操作	大幅な設定の変更、Robuxやゲームの所有権の移動、取り消せない変更

※ Robloxのヘルプ記事「遅延アクション」（日本語版・2026年11月3日に確認）に書かれている内容です。

ログインを許してしまった後にも、公式の仕組みが1つ残っています。
持ち物が動くときに、数時間の待ちを入れる機能です。

普段と違う場所や端末からの操作、マルウェアに由来するとみられる動き、いつもの行動と合わない動き。
Robloxはこうした指標を見て、機密性の高い操作に待ちをかけます。

この数時間が、親に届く唯一の合図です

待ちが始まると、メールとアプリ内通知が飛びます。
見るのは子どもとは限りません。登録してあるメールアドレスが親のものなら、親に届きます。

心当たりが無ければ、通知の中の「いいえ、私ではありません」を選びます。
これで不審なセッションが切れます。そのあとパスワードを変えて、二段階認証の設定を確かめます。

気づくのが数週間後だと、何が終わっているか

NordVPNは、被害に気づくのが数週間後になるケースが多いとしています。
一方でRobloxのヘルプ記事には、アイテムや通貨の復元を相談したい場合は不正アクセスから30日以内に連絡が必要だと書かれています。

「数週間後」と「30日」は、ほとんど同じ長さです。

復元について、公式が書いていること

だから、通知が来たその日に動けるかどうかで結果が変わります。
子どものアカウントに登録されているメールアドレスを、親が読める場所にしておいてください。

待ちを飛ばせるのも、やはりパスキーです

ヘルプ記事には、信頼されたパスキーやハードウェアキーで認証すると、通常は待ち時間を回避できると書かれています。

本人にとっては面倒が減り、乗っ取った側にとっては数時間の壁が残ります。
同じ設定が、両側で逆に働きます。

乗っ取られた後の手順は、公式の順番で

Robloxのヘルプ記事「アカウントがハッキングされた場合」は、パスワードの変更より先に、端末の掃除を置いています。

公式が書いている順番

順番	やること	先にやる理由
1	怪しいダウンロードとブラウザ拡張を消す	残っていると、変えたばかりのパスワードがまた盗まれる
2	ウイルス対策でフルスキャン、再起動、もう一度スキャン	再起動をはさまないと消しきれないものがある
3	パスワードを変える	端末がきれいになってから変える
4	二段階認証を設定する	同じパスワードで戻られないようにする

※ Robloxのヘルプ記事「アカウントがハッキングされた場合」（日本語版・2026年11月3日に確認）の順番です。理由の欄は当サイトで補っています。

パスワードから変えたくなりますが、公式の順番は逆です。
端末に盗む仕掛けが残っていれば、新しいパスワードもその場で持っていかれます。

保護者の設定で、使われる額に上限をかける

設定	既定の値	変えられる範囲	いつまで効くか
月間課金限度額	制限なし	0〜10,000（現地通貨）	13歳になると適用されなくなる
Robuxの送信（1日）	500 Robux	500までの範囲で下げられる	送り先は信頼できる友達のみ
Robuxの送信（1か月）	1,000 Robux	1,000までの範囲で下げられる	送るたびの承認を必須にできる
課金の通知	高額課金アラートが有効	すべての取引／高額のみ／なし	13歳以降も受け取れる
1日のスクリーン時間	制限なし	1日あたりの上限を設定できる	13歳から本人が管理する

※ Robloxのヘルプ記事「保護者コントロールの概要」（日本語版・2026年11月3日に確認）に書かれている値です。課金限度額はギフトカードの利用には効きません。利用額は月末にリセットされ、翌月に繰り越されません。

乗っ取りを完全には防げなくても、持っていかれる額には上限をかけられます。
しかも、その上限は最初から入っているわけではありません。

月間課金限度額の既定は「制限なし」です

ここがこの節でいちばん大事な一行です。
Robloxのヘルプ記事には、月間課金限度額の「デフォルトは制限なし」と明記されています。

0から10,000までの範囲で設定できます。0にすれば、その月は追加の購入が通りません。
高額課金アラートのほうは既定で有効になっていて、100ドル・250ドル・500ドルに達するとメールが届き、そのあとは10取引ごとに通知が来ます。

通知は既定で入っているのに、上限は入っていません。気づく仕組みはあって、止める仕組みは自分で入れる形です。

Robuxの送信は、既定で1日500・1か月1,000

子どもは「信頼できる友達」にRobuxを送れます。
その上限は既定で1日500 Robux、1か月1,000 Robuxです。

手動で制限を入れると、この範囲内で好きな値まで下げられます。
承認の設定を「常に確認」にすると、送るたびに親の許可が要ります。

二段階認証を入れていると、送信の上限は上がります

ヘルプ記事には「お子様が2段階認証を有効にしている場合、上限が引き上げられます」と書かれています。

本来はもっともな扱いです。本人確認が強いアカウントのほうが、制限を緩めてよいからです。
ただし、この記事で見てきた手口は、その二段階認証を素通りします。

二段階認証を入れただけで安心して、送信の設定を見ないままにすると、上限だけが上がった状態になります。
二段階認証を入れたら、同じ日に送信の設定も見てください。

13歳になると、外れる設定があります

課金限度額は13歳で適用されなくなります。スクリーン時間も本人の管理に移ります。
通知だけは、その後も受け取る設定にしておけます。

16歳以上では、親の側で変えられるのは通知と課金通知とアクティビティの更新だけになります。
上限をかけられる期間は、思っているより短いということです。

持ち物が動く経路も、設定で狭められます

Robloxで取引ができるのはPlusのユーザーだけだと、ヘルプ記事に書かれています。
持ち物の公開範囲は、全員・友達・なしから選べます。

今日その場で変えられる4つ

課金通知を「すべての取引」にすると、通知は増えます。
その代わり、最初の1回で気づけます。数週間後ではなく、その日のうちにです。

「無料Robux」について、公式が書いていること

言われていること	Robloxのヘルプ記事に書かれていること
Robuxの生成ツールがある	存在しません。あると言う人・動画・サイト・ゲームはすべて詐欺です
無料でRobuxがもらえる	いいえ。購入するか、クリエーターとして獲得するかのどちらかです
裏技やコードがある	そうしたものは存在しません
手順に従えばもらえる	虚偽の購入申告をすると、こちらのアカウントが削除される可能性があります

※ Robloxのヘルプ記事「無料Robux（ロバックス）または定期購入の生成ツール」「Robuxの取得方法」（日本語版・2026年11月3日に確認）によります。

最後の行が、あまり知られていません。
だまされた側も規約違反になり、こちら側のアカウントが消える可能性があると書かれています。

子どもが黙る理由は、ここにもあります。
「無料Robuxのサイトを使った」と言い出しにくい状況が、報告を遅らせます。

公式が繰り返している一行

同じヘルプ記事に、太字で書かれている注意があります。
「Robloxログインページ以外、パスワードを絶対に入力しないでください」。

この記事の前半で見た偽の画面は、まさにその例外を作る仕掛けです。
ログインする場所を1つに決めておけば、この手口は入り口で止まります。

スタッフを名乗る相手について

Robloxのヘルプ記事には、Roblox管理者がパスワードを尋ねることは決してないと書かれています。
本物のスタッフには管理者のアイコンが付き、ゲーム内のスコアボードでも見分けられます。

アイコンが無いのにスタッフを名乗る相手は、報告の対象です。

安く買いたいなら、公式の中に道があります

Robloxのヘルプ記事には、Web・PC・ギフトカードで買うと、通常より最大25%多くRobuxを受け取れると書かれています。期間限定ではなく、恒常的な価格の形だと明記されています。

「無料」はありませんが、「同じ金額で多く」はあります。
子どもに説明するときは、この道を先に見せてください。

家族で決めておくと効く3つ

「PS5のゲームがPCで遊べる」と称するソフト

NordVPNが見つけたもう1つの手口は、「PS5のゲームがPCで遊べる」とうたう偽のソフトです。
実在する人気ソフトの名前をかたって、GitHubで配られていました。

同じ名前のリポジトリを数えました

当サイトでGitHubを検索したところ、名前に「anyps5」を含むリポジトリは72件ありました。
そのうち68件が、2026年10月1日以降に作られたものです。

星の数は、桁が違います

星の数	件数	中身
1,000以上	1件	50,639。2026年8月に作られたもの
10〜999	6件	いちばん多いもので47
10未満	65件	ほとんどが10月以降に作られたもの

※ 2026年11月3日に当サイトが数えた数です。星の数が少ないことは、そのリポジトリが不正であることを意味しません。名前が同じものが短期間に増えている、という事実だけを数えています。

1件だけが50,639で、残りは2桁以下です。
名前で検索して上から順に開くと、どれが元のものか分からなくなります。

この偽ソフトは、調べられていることに気づきます

NordVPNの解析によれば、このソフトは起動するとまず自分が動いている環境を確かめます。
セキュリティの専門家が使う解析環境だと判断すると、何もせずに止まります。

利用者のパソコンだと判断したときだけ、ウイルス対策の検査を避ける設定を足したうえで、情報を盗むとみられるプログラムを動かします。
そして感染から2分後には、自分のファイルを消します。

公開情報で報告されていない新しい種類だとされています。
名前で検索して、見つかったものを上から試すという探し方が、いちばん危ない探し方です。

ウイルス対策を止めろと言うソフトは、そこで終わりです

NordVPNの対策にもありますが、使うためにウイルス対策を止めるよう求めるソフトは、それだけで判断がつきます。
警告を無視するよう促す説明も同じです。

無料のソフトに何が入っているかという話は無料VPNアプリの安全性にも書いています。

VPNはこの乗っ取りを止めるのか

VPN	公式が出している遮断機能の名前	遮断の対象として挙げているもの
NordVPN	Threat Protection	悪質なサイト・トラッカー・広告
ExpressVPN	高度な保護（旧 Threat Manager）	悪質なサイト・トラッカー
Surfshark	CleanWeb	広告・トラッカー・マルウェア
CyberGhost	コンテンツブロッカー	マルウェア・トラッカー・広告の既知のドメイン
Private Internet Access	PIA MACE	広告・トラッカー・マルウェア
Windscribe	R.O.B.E.R.T.	IPとドメインの単位で指定したもの
Mullvad	暗号化DNSの遮断設定	広告・トラッカー・マルウェアほか

※ 当サイトが調べている7社について、各社の公式の機能ページに載っている名前です（2026年11月3日に確認）。機能の有無を比べたもので、効き目を比べたものではありません。

7社とも、悪質なサイトを遮断する機能を公式に出しています。
そのうえで、この記事の主題にははっきり線を引きます。

止まるものと、止まらないもの

場面	VPNと遮断機能の働き
名簿に載っている偽サイトを開こうとした	届く前に止まります
公共のWi-Fiで通信を見られそうなとき	経路が暗号化されます
昨日立ったばかりの偽ログイン画面	名簿に入るまでは、通ることがあります
本人がコードを入力してしまった	通信としては正常なので、止まりません

※ 最後の2行が、この記事で扱っている手口です。

本人が入力した操作は、どの層から見ても正常な通信です。
暗号化しても、入力した値はそのまま相手に届きます。

だから、この手口に効くのは認証の形です。
VPNと遮断機能は、その手前の層で名簿に載った分を減らします。役割が違います。

家庭で効かせるなら、置き場所は1か所です

遮断機能は、子どもの端末ではなく家のルーターや親の端末に入れても、設定した端末ぶんにしか効きません。
子どものパソコンやスマートフォンに入れないと、その子の通信は通りません。

通信そのものの仕組みはVPNとは何か、家の回線を守る考え方はVPNを使うメリットにまとめています。

子どものアカウントが流出していないかを見る

過去の流出でメールアドレスとパスワードが出回っていると、偽サイトを踏まなくても試されます。
同じパスワードを他のサービスで使い回していないかを、先に確かめてください。

確かめ方はメールアドレスの流出を調べる方法と情報漏洩の確認方法に書いています。

今日やる順番

ここまでの内容を、順番に並べます。
上から3つまでで、この記事の手口は通らなくなります。

STEP1　本物の入り口を1つに決める

公式アプリか、自分で打ち込んだアドレスから開く。これを家族の約束にします。
友達から届いたリンクも例外にしません。

前半で数えたとおり、似たアドレスは88件が生きていて、そのうち80件はRoblox側を指していません。
見た目で見分けるのは現実的ではありません。見分けないで済む開き方にします。

STEP2　パスキーを登録する

設定からアカウント情報に進み、パスキーを追加します。年齢の制限はありません。
これだけで、ログインのたびにコードを打つ必要がなくなります。

STEP3　強化保護をオンにする

パスキー、認証済みのメールアドレス、電話番号かバックアップコード。この3つがそろったら切り替えます。
メールと認証アプリの6桁コードが無効になり、偽の画面に渡せるものが消えます。

切り替える前に、必ず確かめること

STEP4　課金とRobuxの送信に上限を入れる

月間課金限度額は既定が「制限なし」です。金額を入れてください。
Robuxの送信は、承認を「常に確認」にすると1回ずつ親の許可が要ります。

STEP5　家族で1回だけ、通知を見る練習をする

遅延アクションの通知が来たとき、「いいえ、私ではありません」を押すという1点だけ共有しておきます。
通知の文面を一度見せておくと、本番で迷いません。

この5つを、この順でやる理由

順番	やること	かかる時間	この手口に効くか
1	入り口を1つに決める	話すだけ	踏む回数が減る
2	パスキーを登録する	数分	効く
3	強化保護をオンにする	数分	構造として通らなくなる
4	課金と送信に上限を入れる	5分	被害の額が頭打ちになる
5	通知を見る練習をする	1分	気づくまでの時間が短くなる

※ 時間はおおよその目安です。1と5は設定の変更ではなく、家族で話す内容です。

ゲーム全般でVPNをどう使うかはゲームにおすすめのVPN5選に、海外から日本のゲームを遊ぶ側の話は海外からウマ娘をプレイする方法に書いています。

子どものアカウントを守るのにおすすめのVPN3選

ExpressVPN：接続速度と安定性で業界最高水準

	内容
本社所在地	英領バージン諸島
月額料金（2年プラン）	$4.49〜/月
返金保証	30日間
サーバー台数	3,000台以上
対応国数	113カ国
同時接続台数	10〜14台（プランによる）
日本語対応	アプリ・サポートともに対応

全世界で400万人以上が利用するExpressVPNは、VPN LIFEの速度検証で常にトップクラスの数値を記録しています。

一般的なVPNアプリは起動から接続完了まで30〜60秒かかりますが、ExpressVPNはその工程をわずか10秒ほどで完了。
毎日使うツールとしてのストレスのなさは、長期利用者からも高い評価を得ています。

地域制限への対応力も高く、4K動画の視聴でも品質低下を感じにくい通信速度を維持。
中国からの接続実績においても安定していると評価されており、渡航先を問わず使えます。

ExpressVPNのメリット・デメリット

＼【VPN LIFE特典】／
3ヵ月の無料期間が追加でもらえる！

ExpressVPN 公式サイト

口コミや評判のレビュー記事を読む

 

NordVPN：コストと機能のバランスに優れた定番サービス

	内容
本社所在地	パナマ
月額料金（2年プラン）	$3.99〜/月
返金保証	30日間
サーバー台数	8,000台以上
対応国数	140カ国以上
同時接続台数	10台
日本語対応	アプリ・サポートともに対応

NordVPNは新規利用者数が世界最多規模を誇るVPNです。
8,000台以上という圧倒的なサーバー数を持ち、混雑時でも安定した速度を確保しやすい点が特徴です。

長期プランを選択すれば月額料金を大幅に抑えられるため、コストパフォーマンスを重視する方に向いています。

一方、中国国内からの接続では不安定になるケースが報告されているため、中国滞在が多い方はExpressVPNを優先的に検討してください。

NordVPNのメリット・デメリット

＼ 30日間全額返金保証！／

NordVPN 公式サイト

口コミや評判のレビュー記事を読む

 

Surfshark：接続台数無制限で家族・複数デバイスに最適

	内容
本社所在地	オランダ
月額料金（2年プラン）	$2.39〜/月
返金保証	30日間
サーバー台数	4,500台以上
対応国数	100カ国
同時接続台数	無制限
日本語対応	アプリ・サポートに対応

主要VPNサービスの中でも月額料金が低いのが魅力のSurfshark。
新興のサービスですが、通信速度は大手と比較しても遜色なく、世界的な評価も年々向上しています。

同時接続台数に制限がないため、スマートフォン・タブレット・PCといった複数デバイスを1アカウントで使い回したい方や、家族と共有したい方に特に最適。

ただし、地域ブロックへの対応はExpressVPNやNordVPNに比べてやや弱い面があり、特定のサービスで接続が安定しないケースも見受けられます。

Surfsharkのメリット・デメリット

＼ 30日間全額返金保証！／

Surfshark 公式サイト

口コミや評判のレビュー記事を読む

 

Robloxの乗っ取りについてよくある質問

二段階認証を設定していれば、乗っ取られませんか？

パスワードだけが盗まれた場合には効きます。
ただし、この記事で扱っている偽のログイン画面は、パスワードと一緒に二段階認証のコードも入力させます。
詐欺師はその場で本物のRobloxにコードを打ち込むので、コードを手で入力する方式はすべて通ります。
通らなくするには、パスキーかハードウェアキーに切り替えるか、Roblox公式の「強化保護」をオンにしてください。

パスキーは子どものスマートフォンでも使えますか？

使えます。Robloxのヘルプ記事の表では、パスキーの追加は対象年齢が「全年齢」と書かれています（電話番号の追加は13歳以上が対象です）。
ほとんどのスマートフォンとブラウザが標準で対応しています。
Xboxのようにパスキーに対応していない端末では、公式はクイックログインの利用をすすめています。

強化保護をオンにすると、別のパソコンから入れなくなりますか？

入れます。ただし、パスキーかハードウェアキーでの確認が必要になります。
メールに届く6桁のコードと認証アプリのコードは、二段階認証としては使えなくなります。
パスキーを失ったときに備えて、認証済みのメールアドレスと、電話番号かバックアップコードを先に登録しておいてください。

Robuxやアイテムを勝手に使われた場合、戻してもらえますか？

Robloxのヘルプ記事には、復元を保証しないと書かれています。
ごく限られた場合に対応できることがあり、その相談は不正アクセスから30日以内に連絡する必要があります。
公式の仕組みを通さずに行った交換は、サポートの対象外だとも書かれています。

子どもが偽のサイトにパスワードを入れてしまいました。何から直せばいいですか？

Robloxのヘルプ記事が置いている順番は、パスワードの変更より先に端末の掃除です。
怪しいダウンロードとブラウザ拡張を消し、ウイルス対策でフルスキャンをかけ、再起動してもう一度スキャンします。
そのあとでパスワードを変え、二段階認証を設定します。
端末に盗む仕掛けが残っていると、新しいパスワードもその場で持っていかれるためです。

無料Robuxのサイトを使うと、こちらも罰せられますか？

Robloxのヘルプ記事には、そうした手順に従って虚偽の購入申告を行った場合、規約違反となりアカウントが削除される可能性があると書かれています。
Robuxの生成ツールは存在せず、無料で配ると称するものはすべて詐欺だとも明記されています。
子どもが言い出しにくくなる原因でもあるので、家庭では「先に言えば怒らない」と決めておくほうが早く手が打てます。

VPNを入れれば、偽のログイン画面は開かなくなりますか？

名簿に載っているアドレスなら止まります。
当サイトが2026年11月3日に調べた範囲では、公式に似たアドレス80件を、遮断用のDNSは1件も止めていませんでした。
立ったばかりのアドレスは名簿に入るまで通ることがあるという意味で、遮断を入れる価値が無いという意味ではありません。
この手口に直接効くのは、認証の形を変えることです。

「PS5のゲームがPCで遊べる」というソフトは、全部危ないのですか？

全部が不正だという話ではありません。
当サイトが同じ日に数えたところ、名前に「anyps5」を含むリポジトリは72件あり、そのうち68件が2026年10月1日以降に作られたものでした。
星が1,000を超えているのは1件だけで、残りは2桁以下です。
名前で検索して、出てきたものを上から試すという探し方が危ないということです。ウイルス対策を止めるよう求めるソフトは、その時点で使わないでください。

まとめ

この記事で見たこと	数字	出どころ
Robloxを装った偽サイトの数	7日間で196件	NordVPNの調査（2026年10月29日発表）
公式に似たアドレスのうち、生きていたもの	375件中88件	当サイトの調査
そのうちRoblox側のサーバーに向いていたもの	8件	当サイトの調査
遮断用のDNSが止めた数	80件中0件	当サイトの調査
同じ名前のリポジトリ	72件。うち68件が10月以降	当サイトの調査
月間課金限度額の既定	制限なし	Robloxのヘルプ記事
Robux送信の既定	1日500・1か月1,000	Robloxのヘルプ記事
持ち物の復元を相談できる期限	30日以内	Robloxのヘルプ記事

※ 当サイトの調査はいずれも2026年11月3日のものです。公式の値は同じ日に日本語版のヘルプ記事で確認しています。

この手口は、注意力では止まりません。
偽の画面は本物と同じ見た目で、リンクは友達から届き、入力するコードは本物から届いた本物のコードです。

止まるのは、入力する文字が無くなったときだけです。
パスキーを登録して、強化保護をオンにする。ここまでで、偽の画面に渡せるものが消えます。

そのうえで、月間課金限度額に数字を入れてください。既定は「制限なし」です。
万一のときに動く額が、そこで頭打ちになります。

次に読むなら

二段階認証とパスキーの仕組みは二段階認証とパスキーの設定方法に、パスワードの作り方と保管はパスワード管理アプリの比較にまとめています。
ゲームでVPNを使う場面の話はゲームにおすすめのVPN5選です。