【ITニュース解説】Steam game removed after cryptostealer takes over $150K

今回、オンラインゲームプラットフォームであるSteamで配信されていたゲーム「BlockBlasters」が、悪質なマルウェアを内包していたことが発覚し、多くのプレイヤーが多額の金銭的被害に遭うという事件が報じられた。この事例は、システムエンジニアを目指す皆さんが情報セキュリティの重要性を深く理解する上で、非常に重要な教訓となる。

この「BlockBlasters」というゲームは、一見すると無料の2Dプラットフォーマーとして提供されていたが、その実態は、プレイヤーのコンピューターに侵入し、仮想通貨ウォレットから情報を盗み出す「クリプトスティーラー」と呼ばれる種類のマルウェアを仕込んでいた。この悪質なプログラムによって、合計で15万ドル（日本円で約2千万円以上）を超える仮想通貨が被害者から盗み出されたとされている。特に衝撃的だったのは、がん治療のための資金を集めていたストリーマーの仮想通貨ウォレットから3万2千ドル（約450万円）が抜き取られたという事例であり、悪意を持ったサイバー攻撃が個人の生活にどれほど甚大な影響を与えるかを示している。この事態を受け、Steamは当該ゲームの配信を速やかに停止した。

「マルウェア」とは、コンピューターシステムに損害を与えたり、不正な活動を行ったりする目的で作成されたソフトウェアの総称だ。ウイルス、スパイウェア、ランサムウェアなど様々な種類があるが、今回の「クリプトスティーラー」は、特に仮想通貨を狙うことに特化している。仮想通貨は匿名性が高く、一度送金されると追跡が困難であるため、犯罪者にとっては効率的な収益源となりやすい。

仮想通貨を保管する場所は「ウォレット」と呼ばれ、ソフトウェア形式のものや、インターネットから切り離された物理デバイス（ハードウェアウォレット）などがある。マルウェアは、主にパソコン上にインストールされたソフトウェアウォレットや、Webブラウザの拡張機能として動作するウォレットから、仮想通貨を管理するための「秘密鍵」や「パスフレーズ」といった重要な情報を盗み出すことを目的とする。これらの情報が攻撃者の手に渡れば、ウォレット内の仮想通貨は容易に不正送金されてしまう。

「BlockBlasters」のような無料ゲームは、ユーザーが気軽にダウンロードして試すため、マルウェアを広範囲に拡散させるための巧妙な手口として利用されやすい。ユーザーがゲームをインストールし、プレイを開始すると、その裏でマルウェアがひそかに活動を開始する。具体的には、ユーザーのコンピューター内部に潜伏し、仮想通貨ウォレットの関連ファイルやブラウザのキャッシュなどから秘密鍵やパスフレーズといった機密情報を探し出し、それを外部の攻撃者のサーバーへ送信する仕組みだったと考えられている。ユーザーは何も気づかないまま、自分のデジタル資産が盗まれているという状況が発生するわけだ。

このようなサイバー攻撃から身を守り、将来システムエンジニアとして安全なシステムを構築するためには、いくつかの重要な知識と対策を身につけておく必要がある。

まず、ソフトウェアをインストールする際には、その提供元が信頼できるものか、そしてそのソフトウェア自体に不審な点がないか、常に確認する習慣を持つことが大切だ。Steamのような大手プラットフォームであっても、審査をすり抜けて悪意のあるソフトウェアが一時的に配信されてしまうリスクはゼロではないことを今回の事件は示している。少しでも怪しいと感じたら、安易にインストールしないことが賢明だ。

次に、アンチウイルスソフトウェアなどのセキュリティ対策ソフトを導入し、常に最新の状態に保つことも極めて重要だ。これらのソフトウェアは、既知のマルウェアの侵入や活動を検知し、ブロックする役割を果たす。しかし、新しい未知のマルウェアには対応が遅れる可能性もあるため、これだけに依存せず、他の対策と組み合わせることが肝要だ。

また、パソコンのオペレーティングシステム（OS）やその他のアプリケーションも、定期的に最新バージョンにアップデートし続ける必要がある。ソフトウェアの更新には、新たな機能追加だけでなく、セキュリティ上の弱点（脆弱性）を修正するための重要なパッチが含まれていることがほとんどだ。古いバージョンのまま放置すると、既知の脆弱性を悪用され、システムが攻撃されるリスクが高まってしまう。

特に仮想通貨を保有している場合は、その管理方法に細心の注意を払うべきだ。ソフトウェアウォレットを利用する場合でも、推測されにくい複雑なパスワードを設定し、可能であれば二段階認証を必ず有効にする。さらに、秘密鍵やパスフレーズといった最も重要な情報は、インターネットから切り離された安全な場所（紙に書き出して保管するなど）で厳重に管理することが推奨される。可能であれば、より高度なセキュリティを提供するハードウェアウォレットの利用も検討すると良いだろう。

加えて、フィッシングメールや不審なウェブサイト、信頼できないダウンロードリンクなど、サイバー攻撃者が仕掛ける可能性のある罠に対して、常に警戒心を持つことが基本中の基本だ。これはソーシャルエンジニアリングと呼ばれる、人間の心理的な隙を突く攻撃手法であり、どのような技術的防御も、ユーザーの意識が低ければ容易に突破されてしまう。

システムエンジニアは、単に機能するシステムを設計・開発するだけでなく、そのシステムが利用される環境全体の安全性にも責任を持つ役割を担う。開発の初期段階からセキュリティを考慮に入れる「セキュリティ・バイ・デザイン」の考え方を持ち、リリース後も継続的に脆弱性を監視し、迅速に対応できる体制を整えることが求められる。今回のSteamゲームの事件は、無料という魅力的な入り口の裏に潜む大きな脅威を具体的に示した事例として、将来エンジニアを目指す皆さんの心に深く刻まれるべき教訓だ。ユーザーが安心してデジタルサービスを利用できるよう、私たちエンジニアがセキュリティの最前線で目を光らせる意識を持つことが、何よりも重要となる。