人気ゲーム「NIKKE」公式PCランチャーで不正プログラム実行か CDN上でスクリプト改ざん ユーザーは対策を

何が起きたのか

NIKKEの運営チームは11月5日、PC版ランチャー（ゲームを起動するためのアプリ）の一部スクリプトが改ざんされたと発表しました。改ざんされたランチャーを起動すると、不正プログラムが動く可能性がありました。運営は4日に修正版を配り、ユーザーに謝罪しています。外部の研究者は、パスワードなどを盗める「K2F」というプログラムが送り込まれていたと報告しています。

数字で見る主な事実

• 9月27日：NIKKEの一部サービスで使っていたドメイン「insightjs.com」が乗っ取られる。同日、ランチャーが読み込むスクリプト4件が改ざんされる。
• 10月30日：改ざんされたスクリプトを通じて、ユーザーのPCへ不正プログラムの配布が始まる。
• 11月4日：運営が異常に気づき、不正ファイル3件を差し替えて配布を止める。
• 対象は、9月27日以降にWindows版ランチャーを一度でも起動したユーザー。モバイル版は影響を受けていないとされる。
• NIKKEは2022年11月に配信開始。世界累計4500万ダウンロード超（2024年10月末時点）。売上の48.3％は日本のユーザー（Sensor Tower、2026年5月の集計）。

ランチャーとCDNとは

ランチャーは、ゲームを起動するための入り口のアプリです。CDNは、ゲームのデータやファイルを世界中の多くのサーバーから素早く届ける仕組みです。今回は、ランチャーがCDN上の公式スクリプトを読み込む仕組みが悪用されました。ランチャーが外部のサイトからスクリプトを読み込む状態になっていたとされています。

なぜ大事なのか

ゲームのアプリが乗っ取られると、パソコンの中の情報が盗まれるおそれがあります。盗まれる可能性があるのは、ブラウザに保存したパスワードやログイン情報、暗号資産ウォレットのデータなどです。そのため、ユーザーは点検やパスワード変更などの対策が必要です。SNSでは、情報発信が遅いという批判や、補償が足りないという声も出ています。

これから注目すべき点

• 改ざんされた経路がどこにあったのか、運営の調査結果。
• 影響がどこまで広がったのか、被害の全体像。
• 金銭的な被害やアカウントの異常があった場合の、運営の補償や対応。
• 運営が示した再発防止策（監視の強化、外部ファイルの検証、権限の見直し）が実際に行われるか。