【緊急】NIKKE PC版ランチャーにマルウェア感染の恐れ！RATによる情報窃取の危険性と感染確認・対処方法

2026年11月4日、『勝利の女神：NIKKE』（以下、NIKKE）のPC版ランチャーで、重大なセキュリティ問題が明らかになりました。

公式配信されているファイルが何者かに改ざんされ、ランチャーを起動しただけで遠隔操作型マルウェア（RAT）が実行された可能性があるというものです。感染すると、PC内のファイルやブラウザに保存されたパスワード、Cookie、各種の認証情報などが盗まれる恐れがあります。

SHIFT UPとLevel Infiniteは11月4日、PCランチャーのスクリプトファイルが第三者に改ざんされた可能性を確認したと発表しました。同日2時30分頃にクライアントを修正・更新し、現在は影響範囲を調査中です。ただし、有志の分析者は「運営が修正完了を確認するまでは起動しないでほしい」と呼びかけています。

この記事では、公開されている技術分析や運営の発表をもとに、発生経緯、盗まれる可能性のある情報、感染の確認方法、対処方法を初心者の方にもわかりやすく解説します。

※本記事は2026年11月4日時点の情報に基づいています。運営会社からの発表や追加の分析によって、内容が変わる可能性があります。

NIKKE PC版ランチャーで何が起きたのか？
1. サプライチェーン攻撃とは？
経緯と現在の状況
盗まれる可能性のある情報
Chromeを使った永続化の仕組みも確認されている
感染しているか確認する方法
感染した場合・疑われる場合の対処方法
感染確認ツール・スマホ版・Linuxへの影響
まとめ：公式の安全確認が出るまで、PC版ランチャーは起動しない
1. 参考情報・出典

NIKKE PC版ランチャーで何が起きたのか？

今回の問題は、サプライチェーン攻撃と呼ばれるものです。

分析によると、Level Infiniteが管理するCDN（ファイルを高速配信するための仕組み）上にある公式のJavaScriptファイル4つに、攻撃者のコードが追加されていました。NIKKEのPC版ランチャーはこれらのファイルを読み込むため、ランチャーを起動すると、攻撃者が用意した外部サーバーからスクリプトが呼び出されます。そしてその先で、RATが実行される仕組みでした。

つまり、偽物のランチャーをダウンロードしたわけではありません。正規のランチャーが、公式の配信ファイルを通じて感染してしまう点が、今回の厄介なところです。

サプライチェーン攻撃とは？

ソフトウェアの開発元や配信元、関連サービスを攻撃し、その仕組みを使って利用者にマルウェアを届ける手法です。利用者が怪しいファイルを開いたり、不審なリンクをクリックしたりしなくても、いつも通りに公式のソフトを使っただけで被害に遭う可能性があります。

経緯と現在の状況

公開されている分析や運営の発表をもとに、日本時間で整理すると次のとおりです。

日時（日本時間）	出来事
9月27日	公式CDN上の4つのJavaScriptファイルが改ざんされた（攻撃に使われたドメインも同日に登録）
10月24日未明	RAT（遠隔操作エージェント）が起動した最古の報告
10月28日	配信元では、1つのファイルが正常な状態に戻された（ただし一部のCDNサーバーに改ざん済みのコピーが残った）
11月4日 2時台	残る3つのファイルが正常なものに差し替えられた
11月4日 2時30分頃	運営がクライアントを修正・更新し、改ざんの可能性を発表
11月4日 7時台	分析者の確認で、一部のCDNサーバーが改ざん済みのファイルをまだ配信していた

ここで押さえておきたいポイントは3つあります。

1つ目は、9月27日から全員が感染していたわけではないことです。改ざんは9月27日からありましたが、RATが実際に配信されたのは、早くても10月下旬からだと分析されています。しかも、ランチャーを起動するたびに必ず配信されたわけではなく、一部の起動でのみ確認されています。

2つ目は、修正されたからといって安全とは言い切れないことです。ランチャー側に古いファイルのキャッシュが残っていたり、配信サーバーによって改ざん済みのコピーが残っていたりする可能性があります。

3つ目は、攻撃者がどうやってCDNに書き込めたのかが、まだわかっていないことです。入口が特定されていないため、今後、別のドメインで同じ手口が使われる可能性も残っています。

盗まれる可能性のある情報

分析されたRATは、決まった情報を盗むだけのものではありません。攻撃者がサーバーから命令を送ることで、感染したPCを遠隔から操作できる仕組みです。確認されている主な機能は次のとおりです。

任意のコマンド・プログラムの実行：これが可能だと、追加のマルウェアの導入や、ファイルの変更もできてしまいます
ファイルの閲覧・取得：ユーザーアカウントで読めるファイルが対象です
スクリーンショットの取得：すべてのモニターの画面を撮影できます
ブラウザの保存情報の窃取：Chrome、Edge、Firefoxなどに保存されたパスワードやCookieが対象です
NIKKEのログイン情報の取得：ランチャーが保存していたアカウント情報です
開発者向けの認証情報の収集：SSHキー、クラウドサービスやAIツールのAPIキー、暗号資産ウォレットの拡張機能のデータなどが対象です

特に注意したいのがCookieです。Cookieが盗まれると、パスワードを入力しなくてもログイン状態を乗っ取られる恐れがあります。そのため、パスワードを変更するだけでは不十分な場合があります。

なお、これらはマルウェアに備わっていると分析された機能です。感染したすべてのPCで、すべての情報が実際に盗まれたと確認されているわけではありません。ただし、分析者は「どの命令が実行されたかをログから知る方法はないので、最悪の場合を想定してほしい」と述べています。

Chromeを使った永続化の仕組みも確認されている

Windows環境では、RATがGoogle Chromeに悪意あるDLLを読み込ませる仕組みも確認されています。この仕組みがあると、NIKKEのランチャーを閉じた後でも、Chromeを通じて悪意あるコードが動き続ける可能性があります。

痕跡として報告されているのは次の2つです。

次のフォルダの中にある、64文字の英数字の名前のサブフォルダと、その中の platform_experience_helper.dll
%LOCALAPPDATA%\Google\Chrome\User Data\PlatformExperienceHelper\
次のレジストリキー
HKCU\Software\Classes\CLSID\{E77CC89B-7401-4C04-8CED-149DB35ADD04}\InprocServer32

ここで注意してほしいのは、PlatformExperienceHelper というフォルダ自体は、正常なChromeにも存在することです。フォルダがあるだけで感染と判断しないでください。また、同じCLSIDは、すべてのWindowsに正規のものが存在します。問題になるのは、ユーザー単位（HKCU）にあるキーのみです。

さらに、このDLLの導入にはChromeのインストールが必要ありません。Chromeを使っていないから大丈夫、とは言えない点にも注意してください。

感染しているか確認する方法

まず、Windowsで確認できる方法を紹介します。

1．ランチャーのログを確認する

NIKKEのインストールフォルダにある、次のファイルをメモ帳などで開きます。

NIKKE\Launcher\intl_service\debug.log

そして k2f_chan という文字列を検索してください。k2f_chan registered や agent started as といった記録があれば、RATが起動した痕跡です。

このログは起動のたびに追記される形式です。ただし、NIKKEのフォルダを削除したり再インストールしたりすると、ログも消えてしまいます。

2．Chrome関連のDLLを確認する

エクスプローラーのアドレスバーに次のパスを入力し、64文字の英数字のサブフォルダの中に platform_experience_helper.dll がないか確認します。

%LOCALAPPDATA%\Google\Chrome\User Data\PlatformExperienceHelper\

3．レジストリを確認する

HKCU\Software\Classes\CLSID\{E77CC89B-7401-4C04-8CED-149DB35ADD04} が存在し、前述のDLLを指している場合は、感染の可能性が非常に高いといえます。レジストリの操作は誤ると不具合の原因になるため、知識に自信がない場合は確認だけにとどめてください。

4．ランチャーのキャッシュを確認する

ランチャーが保存した情報を調べる方法もあります。%APPDATA%\nikke_launcher\tbs_cache\Local Storage\leveldb\ 内のファイルに k2f.agent という文字列があれば、RATが動いていた痕跡です。

また、ルーターやDNSのログに insightjs.com への通信記録がある場合は、改ざんされたファイルが読み込まれたことを示します。

痕跡がなくても安全とは限らない

次のようなケースでは、感染していても痕跡が見つからないことがあります。

NIKKEのフォルダを削除、または再インストールした
マルウェア側の処理で、一部のファイルが削除された
ログを確認する前に、別の操作で痕跡が失われた

痕跡が見つからなくても、10月下旬以降にPC版ランチャーを起動した覚えがある場合は、念のため警戒を続けてください。

感染した場合・疑われる場合の対処方法

感染の痕跡が見つかった場合や、強く疑われる場合は、次の手順をおすすめします。

1．ランチャーを閉じ、ネットワークを切断する

まずNIKKEのランチャーを終了し、可能ならWi-Fiをオフにするか、LANケーブルを抜いて、攻撃者との接続を断ちます。

2．別の安全な端末からパスワードを変更する

感染が疑われるPCではなく、スマートフォンなどランチャーを動かしていない端末から変更してください。優先順位の高いものは次のとおりです。

NIKKE・Level Infiniteのアカウント
メールアカウント、Googleアカウント
Discord、Steamなどのゲーム関連アカウント
ブラウザに保存していた重要なサービス（ネットバンキングなど）

可能なサービスでは、二要素認証も有効にしてください。

3．ログイン中のセッションをすべて解除する

Cookieが盗まれていた場合に備え、各サービスの管理画面から、ログイン中のすべてのセッションを解除してください。

4．開発用の認証情報や暗号資産も見直す

PCにAPIキー、SSHキー、クラウドサービスのトークンなどを保存していた場合は、古いものを失効させて、新しく発行し直してください。暗号資産のウォレットがある場合は、別の端末で新しいシードフレーズ（復元用の単語列）のウォレットを作り、資産を移すことが推奨されています。

5．Windowsの再インストールを検討する

RATは任意のコマンドを実行できるため、不審なDLLやレジストリを消しただけで、完全に元の状態に戻ったとは言い切れません。分析者も、Windowsの再インストールが最も安全としています。事情があって再インストールできない場合でも、少なくとも上記のパスワード変更やセッション解除は必ず行ってください。

感染していない場合も、キャッシュは削除しておく

痕跡が見つからなかった方も、ランチャーを再び起動する前に、キャッシュフォルダ %APPDATA%\nikke_launcher\tbs_cache を削除しておくことが推奨されています。改ざんされた古いファイルが残っている可能性があるためです。ただし、感染が疑われる場合は、先にログや痕跡の確認を済ませてから削除してください。

感染確認ツール・スマホ版・Linuxへの影響

有志が公開している確認ツール

MotherSphere氏が、GitHubで「NIKKE Launcher Check」を公開しています。Windows、Linux（Proton、Steam Deck）、macOSに対応し、ファイルを読み取るだけで、変更や削除、ネットワーク通信は行わないと説明されています。結果は「感染の痕跡なし」「Exposed（悪意あるスクリプトの読み込みあり）」「Infected（感染）」などで表示されます。

ただし、あくまで第三者が作ったツールです。配布元やソースコードを確認したうえで、自己判断で使ってください。不安な場合は、手動での確認でも十分です。