Discord サーバーをレイドから守る：本当に効く 7 つの設定

レイドの流れはほとんどいつも同じです。午前 2 時から 5 時のあいだに、作ったばかりのアカウントが 50 から 300 ほど参加し、すべてのチャンネルに同じメッセージを投稿して @everyone をメンションし、また消えていきます。目が覚めると、サーバーは暗号資産サイトの宣伝であふれ、メンバーの半分が通知をミュートしています。

厄介なのは、こうした攻撃のほとんどが安く自動化されていて、ごく単純なハードルで失敗するという点です。公開で見つけられるサーバーを運営しているなら、次の 7 つを順に確認してください。最初の 4 つは Discord に最初から組み込まれていて、数分の手間しかかかりません。

1. 認証レベルを上げる

これがいちばん効果の大きい設定で、しかも驚くほど見落とされています。

サーバー設定、モデレーション、認証レベルで、アカウントがあなたのサーバーで発言する前に何を満たしている必要があるかを決めます。各レベルの意味は次のとおりです：

レベル	条件
低	認証済みのメールアドレス
中	Discord に登録してから 5 分以上
高	あなたのサーバーのメンバーになってから 10 分以上
最高	認証済みの電話番号

公開サーバーなら最低でも「中」です。「高」にすると、自動化されたレイドの大半が機能しなくなります。攻撃者は何かをする前に、アカウントを 10 分間待機させておく必要があるからです。それは割に合いません。

「最高」は魅力的に聞こえますが、チャットアプリに電話番号を渡したくない本物のユーザーも大勢締め出してしまいます。実際に攻撃を受けている間だけ使ってください。

2. Discord の AutoMod を有効にする

Discord にはしばらく前から組み込みのモデレーション機能がありますが、多くのサーバーオーナーは一度も開いたことがありません。サーバー設定、AutoMod で、スパムリンク、大量メンション、よく悪用される単語へのフィルターを 2 クリックで有効にできます。

きちんとしたフィルターの代わりにはなりませんが、無料ですぐに使えます。

3. 誰が実際に権限を持っているかを整理する

いちばん厄介なのは外からのレイドではなく、内側のアカウントが乗っ取られるケースです。チームの誰かがフィッシングリンクに引っかかり、攻撃者が突然管理者権限を手にして、4 分後にはすべてのチャンネルが消えています。

ロール一覧を一度見直し、管理者権限を持つロールごとに、その人が本当にそれを必要としているかを考えてください。ほとんどの場合、個別の権限で足ります：

• サポーターに必要なのはメッセージの管理とメンバーをタイムアウトであって、管理者ではありません。
• イベント担当に必要なのは 1 つのカテゴリでのチャンネルの管理であって、サーバー全体ではありません。
• Bot が本当にすべてを必要とすることはめったにありません。招待時にすべてを求めてきてもです。

さらに、スタッフ全員に二段階認証を必須にするべきです。サーバー設定、安全設定に、2FA なしのモデレーション操作をブロックするスイッチがあります。

4. 招待を制限する

レイドには招待リンクが必要です。あなたのリンクが 2 年間変わらずサーバーリストに載っているなら、それはどこかのリンク集に入っていて、順番に使い回されています。

公開リストには、無期限のリンクを広めるのではなく、有効期限と使用回数の上限を付けた招待を作ってください。サーバー設定、招待で有効なリンクをすべて確認し、古いものを取り消せます。

5. アカウント年齢を必須にする

Discord の標準機能はここまでです。認証レベル「中」が求めるアカウント年齢は 5 分で、本気の攻撃者にとっては障害になりません。1 週間前にアカウントを作っておけば、それでも通ってしまいます。

Bot なら Discord アカウントの作成日を確認し、基準に満たないアカウントを自動で外せます。7 日がよい目安です。使い捨てアカウントはほぼすべて捕まえつつ、本物の新規ユーザーはほとんど止めません。

ここで大事なことが 1 つあります。BAN ではなくキックを使ってください。キックされたアカウントは、十分な年齢になれば戻ってこられます。BAN だといずれ、友達に誘われて Discord に登録したばかりの人に当たってしまいます。

AlphaCloud では、これが アカウント年齢 モジュールで、Web パネルの 2 つの項目で設定できます。

6. サーバーの手前に認証を置く

考え方はこうです。新しいメンバーにはチャンネルが 1 つだけ見えます。そこで何かをして初めて、残りを開くロールがもらえます。

あなたの手間は一度きりです：

1. 認証チャンネル以外のすべてのチャンネルについて、@everyone から閲覧権限を外します。
2. それ以外のすべてを見られるロールを作ります。
3. ボタンを押すとそのロールを付与するよう Bot に任せます。

シンプルなボタンだけでも、メッセージを送るだけの Bot は止まります。サーバーが意図的に狙われているなら、小さな計算問題のほうが適しています。何も考えずにクリックで通り抜けることができないからです。

うれしい副作用もあります。誰が認証を済ませていて誰がまだなのかが、メンバー一覧ですぐにわかります。

7. 自動の非常ブレーキ

最初の 6 つで大半は防げます。残りには、あなたより速く反応できる何かが必要です。

考え方は単純です。1 つの操作そのものは怪しくありません。怪しいのはその速さです。チャンネルが 1 つ削除されるのは日常です。昨日管理者になったばかりのアカウントが 20 秒で 10 個のチャンネルを削除したら、それは攻撃です。

アンチヌークの仕組みはこうした操作を数え、重み付けし、しきい値を超えたら介入します。意味があるのは次のような点です：

• 人間に対しては BAN ではなく隔離。攻撃はすぐに止まりますが、誤報だった場合はロールを返せます。
• ログチャンネル。朝になってから何が起きたかを確認できます。
• ホワイトリスト。運営メンバーと、正当な理由で多くの操作をする Bot のためのものです。

AlphaCloud ではこのモジュールを Anti Nuke と呼んでいます。削除されたチャンネルやロールを復元することもできますが、誠実な仕組みなら必ず伝えるべき大きな制限があります。**メッセージ履歴は戻りません。**復元されたチャンネルは空です。これは被害を抑えるためのもので、バックアップではありません。

やることを順番に

今日 20 分しかないなら：

1. 認証レベルを「高」にする（2 分）
2. 管理者権限を持つロールを見直す（10 分）
3. 古い招待リンクを取り消す（3 分）
4. Discord の AutoMod を有効にする（5 分）

これで大半は片付きます。5 から 7 は、サーバーが数百人を超えてきたら、あるいはすでに被害に遭ったことがあるなら、やる価値が出てきます。

最後に、設定とは関係のないアドバイスを 1 つ。**サーバーの構造をバックアップしてください。**ロール、カテゴリ、チャンネルです。いざ何かが起きたとき、その 1 つのファイルが、30 分で済むか週末がまるごとつぶれるかの違いになります。