Steamの無料ゲームにアカウント情報を盗むマルウェア…最大1,500人 がダウンロード

例えばマルウェアが含まれるAndroidアプリがGoogle公式のアプリストアで配布される(そしてアップロードと削除を繰り返す)ケースは頻繁にみられますが、Steamにおいては前例はあるものの、珍しいこととされています。

人気ゲームの海賊版にマルウェアを仕込んで拡散させるケース(Steamとは無関係)も報告されている一方で、タイトルでユーザーが飛びつくようなものでもない、ストアを巡回してたまたま目に付くようなゲームであっても油断はできません。

アプリやゲームの開発者に対し身元の厳格なチェックや高額な登録料等を要求したとしても、情報窃取等で元手をとることを目論むような悪意のある開発者は堂々とこれをクリアな対策が確立されない限りは、ユーザー側においてアンチウイルス等による防御、マルウェアによるするものと考えられ、決定的Webサイト等のアカウントに対する多要素認証等の強力な保護を確実に粛々と行うことが重要となるでしょう

返礼品のレシピ紹介ページを2024年5月に改修した際に脆弱性が入れ込まれたとされ、不正アクセスが発覚した8月20日中にアクセス遮断・サイトの閉鎖とともに脆弱性についても修正済み(初報より)としています。

SQLインジェクションは単にデータベースからの情報奪取のみならず、フォームに入力された個人情報・決済情報を抜き取るようWebサイトを改ざんする等にも悪用される可能性があります。

根本的な対策として、Webアプリケーション開発の時点でSQLインジェクション等の脆弱性が入り込まないようにすることが理想ですが、これを悪用するような不正なWebリクエストあるいは内部からの非正規な情報送信を検知、遮断するようなWAF・IDS・IPSの採用も多重防御の意味で十分検討に値します(同町でも再発防止策として同様の対策をとるとしています)。