自由に遊べる「物理の遊び場」で起きた、二度目のマルウェア騒ぎ

物理演算サンドボックス『People Playground』のSteamワークショップが、悪質なMODによるマルウェア被害を受けて無効化された。開発元のStudio Minusは、2026年9月22日（UTC 12:47頃）にSteamのお知らせ「Bad event」を掲載し、事態を告知している。

問題のマルウェアが確認されたのは、9月21日の18時〜20時（CEST）の間。人型のキャラクターを好きなように動かし、乗り物や武器、仕掛けを組み合わせて遊べる自由度の高さが持ち味の『People Playground』だが、その自由さを支えてきたMOD文化が、今回は攻撃の入り口になった形だ。

個人データの消去から、Discordの情報公開まで

告知によると、このマルウェアは個人データをかなり広い範囲にわたって恒久的に消去する。さらに、Steamの設定ファイルやSteamクラウドデータも荒らすという。

もうひとつ厄介なのが、拡散の仕組みだ。感染したPCではDiscordのユーザーネームがワークショップへ公開され、マルウェア自身も自己複製して広がっていく。被害を受けた本人のアカウントが、次の感染源になってしまう構造だ。

ユーザーに求められた3つの対処

Studio Minusが案内した対処は、次の3点。

  • MODをすべて削除する
  • ウイルススキャンを実行する
  • 念のためDiscordのパスワードを変更する

とくに、9月21日の上記の時間帯にMOD入りの状態でゲームを起動していた人は、早めの確認が必要になる。

続報「Incident recap」：C# MODは恒久的に削除

9月24日（UTC 13:45頃）には、続報「Incident recap」が公開された。9月21日から24日にかけてセキュリティインシデントがあったと説明し、詳細な内訳はStudio Minusのインシデント解説ページにまとめられている。

続報によれば、マルウェアは人気のMODに自分自身を挿入する形で、ワークショップ経由で広がった。この事態を受け、C# MODはワークショップから恒久的に削除された。C#のMODは任意のコードを実行できてしまうため、悪意ある投稿者が入り込むと被害がゲームの外側にまで及ぶ、というのが理由だ。今後はLuaやJavaScriptなど、より安全なスクリプト方式への置き換えを、経験豊富なMOD作者と協力しながら検討するという。あわせて、Steamパスワードの変更やSteam Guardの有効化なども呼びかけられている。

2月の停止から続く、ワークショップの安全対策

実は、同様の被害は今年2月にも起きていた。2月2日の告知「Urgent PSA」では、悪質なMODがContraptionsフォルダを削除し、ユーザーのアップロードを自身で上書きして広がると説明されていた。このときワークショップは一時停止され、2月6日の「Updates and Workshop」で再開している。

再開にあたって、MODの自動更新の停止、内容が変わったときの手動承認、バージョン1.27.7でのセキュリティ強化といった対策が導入されていた。それでも今回の被害を防げなかったことが、C# MODの恒久削除という、より根本的な見直しにつながった格好だ。

MODで拡張されてきたサンドボックスだけに、ワークショップの当面の停止は、遊び方に影響するプレイヤーも少なくないだろう。現在のワークショップの状況や新しいスクリプト方式の進捗は、Studio Minusの公式の告知で確認するのが確実だ。