小さな独立系Steamゲームは、ほぼ間違いなくクリプトジャッキング詐欺だった

簡単にまとめると、Steamで配信されていたインディーゲーム「Abstractism」が、単なる金儲けの道具や、Steamアプリ内マーケットプレイスにおける不正取引を目的とした詐欺の隠れ蓑ではなく、ほぼ間違いなく意図的なマルウェアであることが週末に発覚しました。具体的には、インストールして実行すると、暗号通貨マイニングノードの稼働とほぼ同等のシステムリソースを消費しました。

その結果、Steam のキュレーション プロセス、またはむしろその欠如について、さらに多くの疑問が生じています。この 1 年間、この件に関する同サービスの悪名高い一貫性のなさにより、すでに多くの否定的な注目が集まっています。

物語の長いバージョンは、Valveの人気マルチプレイヤーシューター『Team Fortress 2』のゲーム内経済から始まります。TF2では、ゲーム内の素材を他のプレイヤーと交換することで、キャラクターの様々な装飾アイテム（面白い帽子や新しい武器など）のアンロックを早めることができます。さらに、自分で新しいアイテムを作り、Team Fortress 2のワークショップを通じて他のプレイヤーに販売することも可能です。

これらの交換は、実際のお金、またはそれに相当する金額で支払われ、ユーザーのSteamウォレットに保管されます。当然のことながら、これは最もレアなアイテムの実際の金銭的価値が時間の経過とともに上昇していることを意味します。そのため、熱心な、あるいは熱狂的なTF2プレイヤーは、例えば非常に珍しいブーツに約3,200ドルを支払う可能性があります。同様の経済圏はSteamサービス上の他のゲームにも拡大しており、プレイヤーは様々なゲーム内アイテムやSteamトレーディングカードを売買したり、交換したりすることができます。これは主にSteamウォレットの資金を介して行われるため、ここで実際にやり取りされるお金は想像するほど多くありません。

7月28日の午後、ハンドルネーム「PoorAsianBoy」のユーザーが、 TF2ファン向け掲示板Backpack.tfに詐欺被害を報告しました。彼はレアアイテム「Strange Australium Rocket Launcher」との交換を承諾しましたが、実際にはAbstractismに付属していた、ほとんど価値のないゲーム内アイテムを受け取っていました。彼らはTF2アイテムと同じアイコンをそのまま使い、名前を変えて自分のゲームに添付し、不注意な購入者から約80ドルを騙し取ろうとしたのです。

「Abstractism」はOkalo Unionという会社が開発したプラットフォームゲームで、約0.49ドルで販売されていました。その後Steamストアからは削除されましたが、Googleの検索結果キャッシュによると、「ごくありきたりなプラットフォームゲームだが、唯一本当に特別な機能がある。『ゲームオーバー』がないのだ！その代わりにASMRサウンドトラックがある…」とのことです。つまり、一見すると安っぽくて当たり障りのないチルアウトゲームだったということです。

開発元のSteamSpyプロフィールによると、『Abstractism』は2018年3月15日にリリースされ、約6,000人が購入したとのことです。7月23日、AbstractismはSteamコミュニティサイトを更新し、ゲームにアイテムドロップ機能を追加したことを発表しました。それ以前にも、仮想通貨マイニングプログラムと類似した動作をしているというユーザーレビューがいくつかありました。例えば、2001年の携帯電話ゲームのように見えるにもかかわらず、何らかの理由で大量の処理能力とディスク容量を消費しているという指摘です。Okalo Unionはアップデートで、アイテムドロップ率を最大化するために、特定の時間にゲームを継続的に実行し続けることをプレイヤーに強く推奨しました。

PoorAsianBoyのBackpack.tfへの投稿をめぐる騒動は最終的にTwitterへと広がり、ゲーム専門YouTuberのSidAlphaが興味を示しました。動画の中でSidAlphaは、Abstractismで入手できる約200種類のアイテムの多くが盗まれた資産に基づいていること（実際には、そのうちの1つは有名な日本のゲーム開発者である小島秀夫の写真だった）を指摘し、ドロップ率を最大化するために提案された動作は、このプログラムが仮想通貨マイナーであると仮定した場合にのみ意味をなすと指摘しました。動画へのコメントの一つ、「Matheus Muller」は、このプログラムの挙動についてさらに詳しく説明しており、YouTubeのコメントは有用であったり、よく書かれたりしているはずがないため、これは二重に不安を掻き立てます。

もちろん、これらはどれも確固たる証拠ではありませんが、推理の妙技とも言えません。7月23日のAbstractismのパッチで、マルウェアスキャンですぐに検出される新しい.exeファイルが導入されたようです。このゲームは、特徴のない単一のブロックが動く非常にシンプルなプラットフォームゲームですが、まるでCrysisをデュアルボクシングしているかのようにメモリとディスク容量を消費します。また、開発者がAbstractismのプレイ方法を提案している方法は、マイニングの収益を最大化しようとしているプレイヤーのプレイスタイルと一致しています。もしAbstractismがアヒルのように歩き、見た目も鳴き声もアヒルなら、おそらくそのアヒルはあなたのコンピューターをクリプトジャックしようとしているのでしょう。

私はそのことわざを間違えたかもしれない。

PCGamesNによると、 30日朝、 ValveはAbstractismをSteamから削除した。この件は複数の主要ニュースサイトで報じられた後だった。そこで当然の疑問が浮かぶ。ビデオゲーム業界最大手の企業の一つであり、趣味のゲーム業界最大のデジタルストアを運営するValveが、なぜこれほど明白なゲームを自社のプラットフォームに持ち込んだのだろうか？

基本的に、ValveがSteamのキュレーションを諦めてしまったことが原因です。2012年当時、Steamにゲームをリリースするには、Steam Greenlightの投票プロセスを通過する必要がありました。これは2017年に廃止され、新しいSteam Directプログラムが導入されました。今では、デポジットを支払い、ストアを構築し、30日間待機し、Valveによる簡単な審査期間を通過できれば、誰でもSteamにゲームをリリースできます。つまり、Abstractismのようなゲームは、Valveの必要最低限​​の申請プロセスを通過するのに十分な期間、明らかに詐欺ではないという条件を満たしていさえすれば、その後は数本を販売できる状態になったのです。

Valveはシステムのモデレーションに有利な形でいくつかの動きを見せたものの、意図的に可能な限り介入を控えてきました。5月には、複数のゲーム（独立系ビジュアルノベル「Mutiny!! 」など）の性的表現を理由に検閲に踏み切り、一時騒動を引き起こしましたが、すぐに撤回しました。その数日後、「学校銃乱射事件シミュレーション」ゲーム「Active Shooter」は、実在の銃乱射事件の被害者や保護者からの抗議を受け、Steamからあっさりと削除されました。

Valveが6月初旬に公式ブログで述べた公式見解は、「…私たちの役割は、ユーザーが自ら選択できるよう支援するシステムとツールを提供し、ユーザーが安心して選択できるよう支援することです。この原則に基づき、違法と判断されたもの、あるいは明らかに荒らし行為と判断されたものを除き、あらゆるコンテンツをSteamストアに掲載することが正しいアプローチだと判断しました」というものです。同社はSteamライブラリをより効果的に管理するための新しいツールの開発に取り組んでいると主張していますが、当面は、ストアに掲載するコンテンツとそうでないコンテンツの決定はユーザーからのフィードバックに全面的に依存しています。

一方で、Steamの現在のビジネスモデルは無干渉なので、ストアフロントはまさに無法地帯だ。一般的なモバイルアプリストアのように、同様に監視の目がないマーケットプレイスを見ればわかるように、少しでもオリジナリティのあるゲームでも、数週間以内に、同じストアフロントに悪質なクローンが12本も並ぶ可能性が高い。これまでも問題となってきた、安易なアセット転売の問題に加え、Steamで聞いたこともないゲームがクリプトジャッキングの隠れ蓑、あるいは単に詐欺の口実になっている可能性もゼロではない。Valveは噂が広まるとすぐにAbstractismを削除したが、そもそもそれが起こったという事実自体が、この夏、既に多くのキュレーション関連の論争が巻き起こっている中で、さらに一つだけ論争を巻き起こしたに過ぎない。