PC版『ストリートファイターＶ』アップデートのデータ内にrootkitらしきものが含まれていた問題、現在までの経緯

【UPDATE 2016/10/1 17:00】 カプコンは公式ブログ上において9月30日、1.09バージョンへのアップデートに「セキュリティリスク」を含むプログラムの存在があったことを認めた。24日のアップデートで行ったロールバック処理で「セキュリティリスク」は回避可能としながらも、不要となったデータの削除のためのツールを作成し配布する予定としている。

http://www.capcom.co.jp/game/content/streetfighter/saikyoblog/1817

そして日本時間10月1日午前10時、新たにデータ駆除のためのツールの配布のアナウンスがあり、ユーザーに適用を求めた。

http://game.capcom.com/cfn/sfv/systemfault-130915.html

この対応でカプコンとしては今回発生したセキュリティ問題に一応の解決をつけたいところだろうが、ユーザーサイドからは「公式見解」として「rootkit」の文字列が出てこなかった事に対して失望の声が上がっている上、責任問題を問う声はいまだに一定数散見され、問題が収束するかどうかは現段階では予断を許さない。

2013年にアメリカのエンターテイメント業界団体が報告書でrootkitの使用合法化を求める内容の常軌を逸した提言をしたように、極論すればすべての版権元にとってrootkitは理想の管理ツールである一面もある。チートや海賊版対策としてPCから情報を吸出し、場合によっては人質にとることもできるからだ。

当然ながら、目的の正当性と手段の正当性のバランスを著しく欠く方法論には組することはできない。ただし今回のカプコンが起こした問題は、常に潜在している「権利者」と「ユーザー」の利益の相反を極端な形で浮き彫りにしており、あらためて一石を投じている。

9月23日、Steamにて配信されているPC版『ストリートファイターＶ』（以下、ストＶ）にて1.09アップデートが実施され、その直後からゲームが起動しないなどの不具合を多数のユーザーが報告した。Redditなどの海外フォーラムではチート対策として組み込まれた「capcom.sys」というシステムファイルがソフトの起動を妨げていると目され、さらにこの「capcom.sys」がrootkitなのではないかとの嫌疑がかけられる事態に。それを受け翌24日にはロールバック処理のアップデートが行われたが、一部では「copcom.sys」がいまだ残っていたりゲームが起動できないといったユーザーの報告はあり、問題が完全に解決したとは言えないようだ。

「rootkit」とは

そもそもrootkitとは何か。これはクラッカーがおもに用いるもので、簡単に言えばコンピューターに進入し操作、そしてそれを隠蔽することを可能にする、そのコンピューターの権限を使って当該コンピューターそのもののシステムを書き換えることができるツールの総称である。ただ誤解を産まないように付け加えておくと、ツールはあくまでもツールであり、「悪意を持った行為が可能になる」ツールそれ自体をマルウェアと呼ぶには際どいラインともいえる。ただし「capcom.sys」はカーネルモードという、非常に強い権限を行使するものであることも同時に付け加えておかなければならない。

ソニーＢＭＧのrootkit問題

ゲーム業界の話ではないほか内容としても単純に比較することは難しいが、参考例として2005年にアメリカで訴訟にまで発展したrootkitの事件がある。問題となったのは、ソニーBMG（現ソニー・ミュージックエンターテイメント）が販売していた「XCP」という仕様のコピーコントロールCD。この「XCP」仕様のコピーコントロールCDをPCで使用すると、勝手にソフトをインストールしたり、プロセスを不可視にした上でそのコンピューターの使用状況を監視したりと、さまざまな弊害がもたらされる。その上アンインストールが不可能という、悪質なスパイウェアと呼んでもよいもので、カリフォルニアの消費者団体が損害賠償とCDの販売差し止めを求めてソニーBMGを提訴、セキュリティーベンダーもマルウェアと認定した。ソニーは示談により決着を試みたが、最終的な和解金総額は500万ドルとなった。

現状とこれから

セキュリティーベンダーである「Symantec」は26日、危険性は低いとしながらも『ストＶ』をセキュリティーリスクのリストに加えた。かつて『バイオショック』にrootkitが含まれているという噂を否定したSymantecが今回の裁定では厳しさをみせたといえる。

何度も繰り返すようだがrootkitそのものはツールでしかなく、前述のXCPのように明らかな悪意が認められるケースと今回の『ストＶ』のケースが同じであるという単純な解釈をするべきではないが、少なくともそう疑われても致し方ない状況であり、運営の説明責任は免れないといえる。

なお『ストＶ』の販売運営元である株式会社カプコンは9月28日現在、ブログにてこの問題について調査中とし、進捗があれば報告していく旨の発言をしている。