「めっちゃカメレオン」公式Discord乗っ取り、対策中PC感染から9000人BANまで

インディーゲーム「めっちゃカメレオン」の公式Discordサーバーが7月26日未明に乗っ取られ、約9,000人のコミュニティメンバー全員がBANされる騒動が発生した。ゲーム本体への被害はなく、サーバーは翌27日に復旧したが、侵入経路には現代の乗っ取り事件に共通する典型的な弱点が見て取れる。

「対策作業中」に感染した皮肉 #

発端は、開発元がユーザー投稿のカスタムMODマップに紛れ込んだマルウェアへの対策を進めていた最中に、担当者のPCが感染したことだった。ゲームコミュニティのMOD配布は昔からマルウェアの定番の運び屋であり、今回はその対策作業自体が侵入口になった格好だ。感染したPCから盗まれたのは、おそらくブラウザやDiscordアプリに保存されたセッション情報だろう。パスワードやMFAを突破せずとも、有効なセッショントークンさえ盗めば管理者権限のなりすましは成立してしまう。近年主流の「インフォスティーラー」型マルウェアが得意とする手口で、認証情報そのものより先にトークンを狙う攻撃は、Discordコミュニティの乗っ取り事件で繰り返し使われてきたパターンだ。

乗っ取り後は偽警告で二次拡散を狙う #

攻撃者は7月26日午前0時57分にサーバーの管理権限を奪うと、参加者全員をBANした上で「最新アップデートにRAT（遠隔操作ツール）が仕込まれている」という偽の警告を投稿し、悪意あるリンクへの誘導を試みた。実際には存在しない脅威をでっち上げて不安を煽り、追い出された元メンバーが検索やSNS経由でそのリンクを踏むよう仕向ける、乗っ取り後の定番の二段構え攻撃だ。

管理者アカウントの分離が唯一の防御線 #

このケースが示すのは、コミュニティ規模の大小に関わらず、マルウェア検体を扱う端末と管理者権限を持つ端末は物理的・論理的に分離すべきという原則だ。解析用PCと日常業務PCを分けず、同じブラウザセッションでDiscordの管理画面を開いていれば、感染は即座に権限奪取に直結する。ボランティア運営が多いゲームコミュニティほど、この基本的な分離が後回しにされがちであり、今回のような中規模コミュニティへの攻撃は今後も繰り返されるとみられる。