Steamで“マルウェア入りアプデ”されたゲーム、なんとFBIが調査に乗り出す。被害者に協力呼びかける

アメリカ合衆国の連邦捜査局（FBI）は3月11日、Steamにおけるマルウェア被害調査をおこなっていることを発表した。マルウェアが含まれていたゲームをインストールした可能性のある被害者に、調査協力を呼び掛けている。

今回FBIは、Steamにて主に2024年5月から2026年1月にかけて、脅威アクターがユーザーを標的にしていたことを報告。『BlockBlasters』『Chemia』『Dash FPS（旧・Dashverse）』『Lampy』『Lunara』『PirateFi』『Tokenova』といった複数のゲームにマルウェアが含まれていることが確認されたという。そうしたゲームのいずれかについて、インストールして被害を受けた、あるいは関連する情報を有している場合に情報提供を呼びかけている。

FBIが報告するように、Steamでは近年、無料配信されたタイトルに向けてアップデートを介してマルウェアが配信される事例がしばしば発生してきた。たとえば先述した『PirateFi』は2025年2月に無料配信され、その後マルウェアの含まれた疑いのあるアップデートが配信された後にSteam上から削除（関連記事）。また『BlockBlasters』については同年7月に無料でリリースされ、8月末に配信されたアップデートによってマルウェアが追加されることに。こちらもその後すぐさま削除されていた（関連記事）。

今回のFBIの報告ではそのほかにも5つのタイトルが対象として挙げられており、調査が進められてきたようだ。なお、先述した『BlockBlasters』では実際に多くのユーザーが暗号資産を奪われる被害も発生していた。そうした事例では“問題なく遊べる無料配信ゲーム”を装って無料配信され、一定期間を経たあとのアップデートでマルウェアが配信される点で悪質な手口といえる。プレイ後にアンインストールせず、気づかぬうちに自動アップデートがおこなわれてマルウェアの被害に遭うといったケースもあるだろう。

なおSteamでは過去に、ゲームの開発者アカウントが不正アクセスを受けて、攻撃者によりマルウェア入りのアップデートがおこなわれるケースも見られた。これを受けてValveは2023年に、自動アップデートが適用される「default」ブランチの更新時にSMS認証を必要とするセキュリティ強化を実施（関連記事）。ゲーム開発者が、攻撃者により不正アクセスを受けて勝手にマルウェア入りアップデートを流される懸念は減ったといえるだろう。

一方でそうした対策をかいくぐるためか、無料配信ゲームを自らリリースし、後からマルウェア入りのアップデートをおこなうという手口が発生している模様だ。FBIの捜査の進展は注目される一方で、Steam側の新たな対策も期待されるところかもしれない。

なおSteamクライアントでは設定の「ダウンロード」タブで、インストール済みゲームのアップデートのタイミングを一括で設定可能。また個々のゲームのプロパティの「アップデート」タブでアップデートのタイミングを個別で設定することもできる。「ゲームを起動するまで待つ」にしておけばゲームの起動時までアップデートのインストールを保留できるため、少なくとも気づかないうちにおこなわれたアップデートでマルウェアをインストールしてしまう事態は避けやすいだろう。