要点
- 「勝利の女神：NIKKE」の公式は、PC ランチャーのスクリプトが第三者に改ざんされた可能性があると発表し、11月4日 2時30分ごろ（日本時間）に修正した。
- 研究者の報告によると、改ざんは9月27日からで、ランチャーを開くと PC を遠くから操れるマルウェアが入ることがあった。
- 当たった PC では、NIKKE のアカウント、ブラウザに保存したパスワードや Cookie、暗号資産のウォレットの情報が盗まれたおそれがある。
何が起きたか
2026年11月4日、日本向けの公式 X（@NIKKE_japan）が異常を知らせた。PC 版のランチャーが使うスクリプトのファイルに、外部の誰かが手を加えたかもしれない、という内容だ。公式は、どこまで影響が及んだかをまだ調べている最中で、今後の対応は改めて別のお知らせで伝えるとしている。クライアントの修正は、11月4日の2時30分ごろに済ませたという。利用者が何をすべきかは、発表に書かれていない。
改ざんが起きた場所は、ゲームを出している Level Infinite の CDN（ファイルを世界中に配る仕組み）だ。独立の研究者 MotherSphere が GitHub で公開した報告によると、NIKKE のランチャーはこの CDN に置かれた JavaScript のファイルを読み込んで動く。そのうち公式の4つのファイルが、日本時間の9月27日午後3時40分ごろに書き換えられていた。中には攻撃者のコードが入り、攻撃者が用意した insightjs.com から別のプログラムを取りにいく作りになっていた。
取りにいった先のプログラムは K2F という遠隔操作の道具だと、研究者は見ている。ランチャーが開いている間、攻撃者がこの PC でできたとされるのは、大きく分けて次の2つだ。
- 盗む: ブラウザに残るパスワードと Cookie（ログインしたままにするための情報）、NIKKE のログイン情報、暗号資産のウォレットの情報、開発用の鍵やトークン（サービスに入るための合い言葉）
- 操る: 中のファイルを見て持ち出す、画面を撮る、好きな命令を動かす
さらに Windows では、ランチャーを閉じても Chrome と一緒に動き続ける部品を置く仕組みもあったという。ただし BleepingComputer は、この部品が実際に感染した PC に置かれたか、暗号資産が盗まれたかは分かっていないと伝えている。
研究者の報告では、マルウェアが動いたのは遅くとも10月23日からで、ランチャーを開くたびに毎回ではなかった。きれいなファイルへの差し替えは11月3日から4日にかけて進み、4日の夜（日本時間）までに、確かめた配信サーバーすべてで元に戻った。攻撃者がどうやって配信元に書き込めたのかは分かっていない。研究者は、自身の分析は1台の感染した PC と、コメント欄に寄せられたほかの被害者の報告がもとだとしている。プログラムそのものは動かさず、中身を読んで調べたという。
日本の利用者への影響
NIKKE は日本でも多くの人が遊ぶゲームで、日本向けの公式が自ら発表している。当たるのは PC 版のランチャーを使っていた人だ。研究者は、Linux や Steam Deck で Proton（Windows のゲームを動かす仕組み）を通して遊んでいた人も、ファイルを見られるおそれがあるとしている。
日本で何人が感染したかは、資料には出ていない。公式は、影響の範囲を確認している途中だとしている。
なお、攻撃者が使っていた insightjs.org には、日本語を含む4つの言葉で「ランチャーを閉じて」という警告が出ている。BleepingComputer によると、これは公式のものではなく、誰が出しているかも分からない。案内は公式のお知らせで確かめたい。
今すぐやること
- 9月27日から11月4日の間に PC 版の NIKKE ランチャーを開いたかを思い出す。開いていたら、感染したかを確かめるまで、ランチャーを開かない。
- 研究者の MotherSphere が公開した確認の道具（NIKKE Launcher Check）か、下の「技術者向けの詳細」の方法で、感染の跡があるかを見る。研究者は、ランチャーの一時ファイルを消す前に確かめるよう勧めている。
- 跡が見つかったら、その PC はネットにつながず、パスワードもその PC では打たない。研究者は、パスワードを感染していない別の端末から変えるよう勧めている。まず NIKKE（Level Infinite）のアカウントを変え、そのあとでメールや Discord、銀行、ブラウザに覚えさせていたサイトのパスワードも変える。研究者は、二段階認証（パスワードのほかにスマホなどでも本人確認する仕組み）をオンにすることと、ログイン中のセッションをすべて切ることも勧めている。
- PC のブラウザで暗号資産のウォレットを使っていた人に、研究者は新しいウォレットを作って資産を移すよう勧めている。
- 感染した PC そのものについては、研究者が、攻撃者が何でも動かせた以上、Windows を入れ直すことを考えるよう勧めている。BleepingComputer も、最新のウイルス対策で PC 全体を検査し、感染していれば Windows を入れ直すよう勧めている。今後出る公式のお知らせも確かめる。
背景
今回の話は、サプライチェーン攻撃（正規の配布元や部品を通じて、使う側を攻撃するやり方）の一つだ。利用者は公式のランチャーを開いただけで、怪しいものを入れた覚えはない。それでも、公式の配信元が書き換えられれば、正規のアップデートの通り道でマルウェアが届く。
研究者によると、NIKKE のランチャーの本体は管理者の権限を求める作りで、中にブラウザも入っている。こうした道具が狙われると、ゲームと関係のないブラウザのパスワードや仕事の鍵まで危なくなる。
ソフトの配布元が書き換えられた例は、これまでもある。2017年には PC の掃除ソフト CCleaner の正規版にマルウェアが混ぜられ、2023年には電話のソフトを作る 3CX の配布物が改ざんされた。今回は、配信元に攻撃者がどう入ったかが分かっておらず、研究者は別のドメインで再び使われるおそれもあると書いている。
技術者向けの詳細
時刻は研究者の報告（GMT）。日本時間は +9 時間。
- 改ざん: 2026-09-27 06:41〜06:42 GMT、
playerinfinite.com（Tencent COS）上の4ファイルaegis-fix.min.js/images.7fec4c32.js/FeedList.feb647c9.js/vue-bucket.min.js
- 修正:
FeedList.feb647c9.jsは 10-28 に配信元で差し替え。ただし一部の CDN サーバーは 11-04 03:12〜03:21 GMT まで改ざん版を配っていた- 残る3ファイルは 11-03 17:04〜17:23 GMT に差し替え
- 11-03 に配信元へ
FeedListを再アップロード（sg-gptsは 20:13、na-webassetsは 20:19 GMT） - 11-04 11:20 GMT に確かめた4台の CDN サーバーで全ファイルがきれい
- 版: 公式は版の番号を出していない。報告のコメントに
nikke_launcher.exe0.0.6.841 の記載あり（未確認） - 通信先（遮断の対象）:
insightjs.com、analytics.insightjs.com、insightjs.org、89.127.233.127、89.126.250.172 - 感染の跡（NIKKE のインストール先から見て）
Launcher/intl_service/debug.logにk2f_chan registered、adopted <uuid>、agent started as <コンピューター名>Launcher/log/tinyget/tinyget.*.logにinsight.bundleのダウンロード成功（curl perform successと 0 でないtotal=）Launcher\log\tinygetに先頭が1B 4C 4A 01（LuaJIT のバイトコード）のファイル%APPDATA%\nikke_launcher\tbs_cache\Local Storage\leveldb\にk2f.agent（圧縮で見えないこともある）
- 残り続ける部品（Windows）
HKCU\Software\Classes\CLSID\{E77CC89B-7401-4C04-8CED-149DB35ADD04}%LOCALAPPDATA%\Google\Chrome\User Data\PlatformExperienceHelper\<64桁の16進>\platform_experience_helper.dll（PlatformExperienceHelperのフォルダ自体は Chrome の正規のもの）
ログを調べる例（PowerShell）:
Select-String -Path "<NIKKEのインストール先>\Launcher\intl_service\debug.log" -Pattern "k2f_chan"
Test-Path "HKCU:\Software\Classes\CLSID\{E77CC89B-7401-4C04-8CED-149DB35ADD04}"
- 注意点（研究者による）: 1台の PC で Defender がこの DLL を検出しなかった。ペイロードは複数の版があり、ハッシュが合わなくても安全とは言えない。確認の後、
tbs_cacheを消してからランチャーを開く。消し方・後始末の手順は研究者の報告を見る。 - BleepingComputer が挙げたサンプルの SHA-256:
4bfaf98a6b863fa79554d9eeeb18870c3f92d552d62f4bd35a72d19ea68526af
