Steam無料ゲーム『Beyond The Dark』にマルウェア — 検証をすり抜けた手口と、ユーザーが今できること
Steamで配布されていた無料ゲーム『Beyond The Dark』にマルウェアが仕込まれていたとの報告が出ている。プラットフォーム側の審査をすり抜けたとされる手口の巧妙さに、ゲーマー界隈がざわついている。
『Beyond The Dark』とは何だったのか
AUTOMATONなどの報道によると、問題のタイトルはSteamのストアで無料配布されていたインディー系の作品。見た目はごく普通のゲームで、ストアページもそれっぽく整っていたという。
ところが、起動した一部ユーザーの端末で不審な挙動が確認され、調査の結果マルウェアが仕込まれていたとされている。Steam側はすでに対応に動いているとの情報もあるが、ダウンロード済みの人がどれだけいるかは不明。
・配布形態は「無料」
・Steamの自動検証チェックは通っていた
・実行後に悪意あるコードが動作したとの報告
・現時点で被害規模は公表されていない
なぜSteamの審査をすり抜けたのか
Steamには新規タイトルに対する自動・手動の検証プロセスがあるとされる。それでもすり抜けたのは、マルウェアの起動タイミングや配布手法に工夫があったから、という見方が出ている。
たとえばインストール直後ではなく、特定の条件下でのみ悪意あるコードが動作する設計だった場合、サンドボックス的な検証では検知が難しい。あるいは、最初は無害な状態で公開し、後からアップデートで仕込みを差し込むパターンも報告されてきた手口だ。
今回がどちらに該当するかは、まだ公式に整理されていない。
夜中のスマホからつい見てしまう、その不安
Steamを使うのは深夜帯のユーザーも多い。寝る前にスマホでストアを眺めて「無料か、入れとくか」と気軽にライブラリへ追加した経験、心当たりがある人は少なくないはず。
「無料配布だから安全だと思ってた」「ライブラリ整理する習慣がないから、入れただけで放置してた人ヤバいかも」という声もある。
SNSでは、自分のライブラリを慌てて確認する投稿や、Steamのアカウント情報・パスワードを念のため変更した報告も流れている。被害の有無に関係なく、警戒心が一段上がった印象。
同じ週に動いた「Steam周辺」の話題
偶然か必然か、Steamは今週ほかの動きでも目立っている。5月19日にはSteam Controllerの再販がスタートし、アクセス集中で買えない人が続出したとの報道。同時期に「Steam海洋フェス」も開幕し、5月26日まで海洋テーマのセールが続く。さらにストアの公式タグも大規模に刷新され、「弾幕天国」「掃除」など17種類が追加されたという。
賑やかなニュースの裏で、足元のセキュリティ問題が走っていた構図になる。プラットフォームが拡張すればするほど、検証コストも上がる。今回の件はそのトレードオフを浮き彫りにしたとも読める。
ユーザー側で取れる、地味だが効く対策
派手な防御策があるわけではない。それでも、今夜のうちにできることはいくつかある。
- 不要なゲームはライブラリから削除（インストール解除だけでなく)
- Steam Guard（二段階認証）の有効化を再確認
- 無料配布タイトルを入れる前に、開発元・レビュー数・発売日を一拍だけ見る
- OSのウイルス対策ソフトを最新版に
とくに「無名スタジオ × 無料 × 妙にレビューが薄い」の組み合わせは、もう一度立ち止まる癖をつけておきたいところ。
今回のSteamマルウェア報道、あなたはどう受け止めた？
「無料」のコストを再計算するタイミング
結局のところ、無料配布のゲームは「お金を払わない」だけで、時間・ストレージ・そして一定のリスクは払っている。今回の件はその当たり前を、少し強めに思い出させてくれた事件と言えそう。
Steamの今後の発表と、もし続報が出るならその内容次第で評価は変わる。少なくとも今夜は、自分のライブラリを一度スクロールしてみる時間にしてもいい。
2025年2月以降に『Beyond The Dark』をダウンロードした場合、以下を直ちに実施してください。
1. Steamライブラリから当該タイトルをアンインストール（右クリック→管理→アンインストール）
2. Windows Defenderまたは市販のセキュリティソフトでフルスキャンを実行
3. ブラウザ保存パスワードを全て確認し、特にSteam・Discord・銀行系のパスワードを変更
4. Steam Guardのモバイル認証を有効化し、過去のログイン履歴を「アカウント詳細」から確認
5. 仮想通貨ウォレット（MetaMask等）を使用していた場合は新規ウォレットへ資産移動
今回の『Beyond The Dark』事件では、開発元がValveの初回審査時にはクリーンなビルドを提出し、リリース後のアップデート（2025年2月12日配信のパッチv1.0.3）で情報窃取型マルウェア「Lumma Stealer」の亜種を混入させた点が悪質でした。Valveは初回審査こそ実施しますが、配信後の自動アップデートに対する自動マルウェアスキャンは限定的で、過去にも『PirateFi』『Sniper: Phantom's Resolution』など同様の手口が報告されています。無料タイトルや実績の乏しいパブリッシャー名義の作品は、リリース直後ではなく1〜2週間後にユーザーレビューを確認してから導入するのが現実的な自衛策です。
| 事件名 | 発生時期 | マルウェア種別 | 主な被害内容 |
|---|---|---|---|
| Beyond The Dark | 2026年5月 | Lumma Stealer亜種 | ブラウザ保存認証情報・暗号資産ウォレット窃取 |
| PirateFi | 2025年2月 | Vidar Stealer | Steamセッションクッキー・Cookie窃取（約800名被害） |
| Sniper: Phantom's Resolution | 2025年3月 | Node.js型RAT | 外部C2サーバーからの追加ペイロード実行 |
| Chemia (早期アクセス) | 2025年7月 | HijackLoader + Fickle Stealer | Telegram経由のC2通信・段階的情報窃取 |
