メカカメレオン危機：Steamワークショップの悪質マップがマルウェアを拡散、公式Discordも乗っ取り被害に

2026年7月下旬、隠れんぼゲームとして世界的に大流行したインディーゲーム 『Meccha Chameleon』（メカカメレオン） に、異例のセキュリティ危機が発生しました。危機は二段階で進行しました。まず、Steamワークショップのカスタムマップを介したマルウェアキャンペーン。そしてその数時間後には、10万人以上のメンバーを抱えるゲーム公式Discordサーバーが乗っ取られ、実質的に破壊される事態となりました 。

特筆すべきは、ゲームの実行ファイル自体に欠陥があったわけではないことです。問題は ワークショップ側の脆弱性 にあり、これはSteamワークショップというエコシステム全体に潜む、より広範な脅威を露呈させました 。

カスタムマップを介したマルウェア感染の仕組み

事態は2026年7月24日、セキュリティ研究者 Feint（FeintBE） 氏がRedditに詳細な分析を投稿したことで明らかになりました 。同氏は、ワークショップにアップロードされた2つのカスタムマップ、「Laser Tag Neon」（ワークショップID: 3765145606） と 「Chroma Grid Arena」 に、ゲームのブループリント（Blueprint）スクリプトシステムを悪用した悪質なスクリプトが埋め込まれていることを発見しました 。

プレイヤーがこれらのマップを読み込むと、ブループリントが自動的に作動し、一瞬だけコマンドプロンプトのウィンドウが表示されます。その後、以下の完全なマルウェア連鎖が発生しました ：

• ブループリントは、バッチファイル（s.bat）をユーザーの Documents フォルダに書き込みます 。
• このバッチファイルは、実行ポリシーがバイパスされた隠しPowerShellプロセスを起動します 。
• PowerShellは、オランダにホストされた外部サーバーに接続し、第二段階のペイロードをダウンロードしようと試みます（ただし、サーバーは404エラーを返したため、ペイロードの最終的な配信は行われませんでした）。
• このマルウェアは、プライベートファイルの読み取り、リモートサーバーへのアップロード、ランサムウェアの実行やデータ削除などの能力を持っていました 。

感染したマップは後に 「Neon Void Arena」 などの別名で再アップロードされました 。Feint氏の分析によれば、この悪質なマップはSteamのワークショップ審査プロセスをすり抜けていたとのことです 。

重要： ゲームの実行ファイル自体が感染したわけではありません。この脆弱性はワークショップのカスタムコンテンツに限定されたものでした 。

Discordサーバーのハッキング：連鎖反応

7月25日、LEMORIONがワークショップの脆弱性を修正するパッチ3.2.0をリリースした同日、ゲームの公式Discordサーバーがハッキングされました 。

攻撃者は、管理者のバックアップPC にアクセスすることで、2要素認証（2FA）を突破しました 。Steamコミュニティの報告によれば、開発者またはサーバー管理者が感染したワークショップマップをダウンロードしたことが原因で、管理者の認証情報が漏洩した可能性があります 。

犯人グループはサーバー内で以下の行為を行いました ：

• サーバーのチャンネル構造を削除
• 正規のスタッフメンバーをBAN
• 不気味で脅迫的なメッセージや偽のウイルス警告を投稿（ゲームのアップデートにRAT（リモートアクセス型トロイの木馬）が含まれているという虚偽の主張を含む）
• コミュニティを標的にした悪質なリンクをスパム投稿

開発元LEMORIONの対応

開発元LEMORIONは、3つの front で迅速に対応しました：

1. パッチ3.2.0（7月25日リリース）：カスタムマップが任意のシステムコマンドを実行できるブループリントベースの脆弱性を修正 。
2. 問題のマップ削除：問題の2つのマップを特定し、Steamワークショップから削除 。
3. 公式発表と注意喚起：ゲーム本体は無被害であることを確認し、RATの噂は「100%虚偽」と断定。乗っ取られたDiscord内のリンクをクリックしないよう強く呼びかけました 。また、感染した管理者PCを初期化し、Discordサポートにサーバー復旧を依頼しました 。

Steamコミュニティの反応

『Meccha Chameleon』コミュニティは、警鐘と戸惑いの声で溢れました。SteamフォーラムやRedditでは、実行ファイルではなくカスタムマップ がマルウェアを配信するという事実に、多くのプレイヤーが衝撃を受けました。これまでワークショップのコンテンツは安全であるという、暗黙の前提が覆されたのです 。

主なコミュニティの反応は以下の通りです ：

• 問題のマップをプレイした後に感染を確認し、ウイルススキャンを実施したプレイヤーからの報告
• 状況が解決するまで、いかなる『Meccha Chameleon』ワークショップマップもダウンロードしないよう警告する声
• Valve（Steam運営元）に対し、ワークショップのコンテンツ審査をより厳格にするよう求める批判

Steamワークショップエコシステム全体へのセキュリティ上の示唆

今回の『Meccha Chameleon』事件は、一つのゲームの枠を超えた、根本的なセキュリティ上の欠陥を浮き彫りにしました：

• ブループリントレベルのコード実行リスク：ゲームのスクリプトシステム自体が悪用され、任意のシステムコマンドを実行できたという事実は、ユーザー生成スクリプトをサンドボックス化せずに許可しているあらゆるSteamゲームに、同様のリスクが存在することを意味します 。
• ワークショップへの信頼の崩壊：Steamワークショップは長らく、半ば公式のキュレーションされた安全なスペースと見なされてきました。今回の攻撃は、悪意のある第三者がValveの審査を潜り抜け、一見正当なコンテンツを公開できることを証明しました 。
• 正式なサイバーセキュリティ警告の発出：Govly経由で正式なサイバーセキュリティ警告が発出され、Valve社がこれまでほとんど注目されてこなかったワークショップのマルウェアリスクに直面していると指摘されました 。
• 推奨される対策：ワークショップへのアップロード時にシステムコマンド実行を検出するスキャン、ブループリント/VScript環境のサンドボックス化、そしてプレイヤーに対してワークショップコンテンツをサードパーティ製ダウンロードと同程度の注意をもって扱うよう教育することが推奨されています 。

まとめ

2026年7月の『Meccha Chameleon』事件は、ゲーム本体が安全であっても、Steamワークショップのコンテンツがマルウェアの配布経路として機能し得ることを如実に示しました。開発者は脆弱性の修正に迅速に対応しましたが、Discordの乗っ取りは、たった1台の感染したシステムが引き起こす連鎖的な被害の大きさを露呈しました。

7月15日以降に「Laser Tag Neon」または「Chroma Grid Arena」をプレイしたプレイヤーは、自身の Documents フォルダに s.bat というファイルが存在しないか確認し、フルウイルススキャンを実行することを推奨します 。また、公式Discordサーバーが完全に復旧するまでは、同サーバー内に投稿されたリンクをクリックしないよう注意してください。