世界的ヒットとなった国産かくれんぼゲーム「めっちゃカメレオン」の公式Discordサーバーが、2026年7月末に乗っ取られた。攻撃の起点は、ユーザー作成マップのマルウェアを調べていた開発チームの検証用PCである。そこから運営担当者のDiscordアカウントに侵入した攻撃者は、2段階認証を迂回してサーバーの管理権限を奪い、公式スタッフ全員を追放。さらに乗っ取った公式アカウントを使って、プレイヤーに偽の「修正手順」を踏ませようとした。なお、ゲーム本体への影響はなく、公式サーバーは約1日半で復旧している。
調べていた側が踏み抜いた
開発元LEMORIONがSteamの公式ニュースで公表した経緯によれば、発端は、悪意のあるMODマップ（ユーザーが作成したカスタムマップ）の問題を調査・修正する作業だった。その過程でシステムエンジニアのPCがマルウェアに感染。攻撃者はこのPCを足がかりに、当該エンジニアのDiscordの2段階認証（2FA）を迂回し、サーバーの権限を乗っ取ったうえで、公式スタッフ全員をサーバーから追放した。
報道によると、発端はユーザーからの「カスタムマップにマルウェアが紛れ込んでいる」という報告で、開発者の一人が該当マップをゲーム内で動かして挙動を確かめたところ、数時間後に検証用PCが感染したという。攻撃者はマルウェアを仕込んだうえで、それが調査されることまで織り込んでいた可能性がある。
ここで効いたのが「2段階認証を迂回した」という点だ。パスワードを盗んだだけでは突破できないはずの2FAが、端末そのものを掌握されると意味を失う。攻撃者はマルウェアに感染させたPC上で、すでに認証を通過したログイン状態（セッション）を利用できる立場にあったとみられる。多要素認証は認証の入口を守る仕組みであって、認証を通過した後の端末を守る仕組みではない。
乗っ取った看板で偽情報を流す
攻撃者の狙いは、サーバーを荒らすことではなかったようだ。公式サーバーの管理権限を握ったあと、攻撃者は「最新のアップデートにはRAT(遠隔操作ツール)が仕込まれている。修正手順を踏まなければならない」という趣旨の声明を出した。開発元はこれを明確に否定し、Steamのニュース欄で「混乱・誘導を起こすための声明です」と説明している。
端末を乗っ取って足場を作る第一段階と、奪った公式の看板で偽の指示を流す第二段階——攻撃はこの二段構えだった。公式コミュニティという信用の器を奪い、そこから流す指示でプレイヤー自身に不正な操作をさせようとする構図である。1件のアカウント侵害が、数万人規模のマルウェア配布経路に化けかねない状況だったことになる。開発元は、乗っ取り犯が今後も偽の声明や告知を出す可能性があるとして、Discordに投稿されたリンクをクリックしたり、偽のサーバーに参加したり、指示に従ったりしないよう強く呼びかけた。
ゲーム本体への波及は否定
一方で、被害の範囲は限定的だった。開発元は、今回の事象は1つの管理者アカウントのDiscordが乗っ取られたことに厳密に限定されており、ゲーム本体にウイルスは仕込まれていないと説明している。根拠として挙げられたのは、感染したPCが予備のテスト用マシンであり、そこからゲームのソースファイルにアクセスしたり編集したりすることは物理的に不可能だという点で、ログを通じて再確認したとしている。感染したPCはすでに完全に消去され、再フォーマットされた。
また、ゲームとDiscordは一切連携させていないため、Discordサーバーに参加していたことがゲーム側の危険につながることはないとも説明。仮に攻撃者がゲーム本体に変更を加えようとしても、Steamの仕様上、PCを乗っ取っただけでは新しいバージョンを公開できないとしている。
MODマップ側の問題自体は事実だったが、報道によれば、MODマップから任意のURLを実行してファイルを作成できてしまう不具合であり、乗っ取り公表の前日にあたる7月25日配信のアップデート3.1.0ですでに解消されていた。開発元はアップデート3.2.0の告知でも、一つ前のバージョンで解決済みであり、マルウェアなどの関係ないファイルを実行できないようになっていること、Steamサポートにも確認済みであることを重ねて説明している。
公式Discordサーバーは7月27日朝に復旧した。開発元は同日、管理者権限を得ていた攻撃者のアカウントをすべてBAN（アカウント停止・追放）したと告知している。報道によると、約9万2000人が参加する公式コミュニティは、被害の表面化からおよそ1日半で正常化した。
「調査用の端末」は本当に隔離されているか
この事案が示しているのは、ゲーム業界に限った話ではない。届いた不審なファイルや検体を調べる作業は、セキュリティ担当者はもちろん、サポート窓口や品質保証、Web運用の現場でも日常的に発生する。そのとき使う端末が、業務で使うSaaS（クラウド型の業務サービス）やコミュニケーションツールにログインしたままになっていないか——今回の経緯は、その一点を突いている。
検証用PCが「ゲームのソースにはアクセスできない」ように隔離されていたことは、被害を開発資産に波及させない歯止めとして機能した。設計としては正しい。しかし同じ端末から、コミュニティ運営の要であるDiscordの管理者アカウントには手が届いてしまった。隔離の線引きが、守るべき資産の一部しかカバーしていなかったということだ。
自組織に引き寄せて確認できることは三つある。不審な検体を開く端末を、業務アカウントからサインアウトした状態で運用しているか。コミュニティやSNSの公式アカウントについて、管理者権限を持つ人と復旧手順を把握できているか。そして、アカウントを乗っ取られた際に「公式として偽の指示が出される」ことを想定した告知経路を、別チャネルに確保できているか。今回、開発元がSteamのニュース欄という別の公式チャネルを持っていたことは、否定と訂正を素早く届けるうえで大きかった。
同じ手口に、自社は備えられていますか？