Ubisoftの『Rainbow Six Siege（R6）』で侵害が発生し、ハッカーが内部システムを悪用してプレイヤーのBAN／解除を行ったり、ゲーム内のモデレーション用フィードを操作したり、世界中のアカウントに大量のゲーム内通貨やコスメティックアイテムを付与したりできる状態になっていました。
複数のプレイヤー報告およびオンラインで共有されたゲーム内スクリーンショットによると、攻撃者は次のことが可能だったとされています:
- Rainbow Six SiegeのプレイヤーをBAN／解除する
- BANティッカーに偽のBANメッセージを表示する
- 全プレイヤーに約20億のR6クレジットと名声（Renown）を付与する
- 開発者専用スキンを含む、ゲーム内のすべてのコスメティックアイテムをアンロックする
R6クレジットは、Ubisoftのストアで現金で販売されているプレミアムなゲーム内通貨です。Ubisoftの価格設定に基づくと、15,000 R6クレジットは99.99ドルで、20億クレジットの価値はおよそ1,333万ドル相当のゲーム内通貨が無料で配布された計算になります。
土曜日の午前9時10分、Xの公式Rainbow Six Siegeアカウントがこの事案を確認し、Ubisoftはゲームに影響する問題を把握しており、チームが解決に取り組んでいると述べました。
その直後、Ubisoftは意図的にRainbow Six Siegeとゲーム内マーケットプレイスを停止し、引き続き問題に対応中であるとしました。
「チームが問題の解決に集中している間、Siegeとマーケットプレイスは意図的に停止されています」と、Xの投稿には記されています。
最終更新でUbisoftは、付与されたクレジットを使用したプレイヤーは処罰されない一方で、UTC 11:00以降に行われたすべての取引をロールバックすると明確にしました。
同社はまた、BANティッカーに表示されたメッセージはUbisoftが生成したものではなく、ティッカーは以前に無効化されていたとも述べました。
出典: @ViTo_DEE91
Ubisoftは、ゲームの完全復旧に向けて作業を継続していると述べましたが、現時点ではサーバーは停止したままです。
現時点でUbisoftは本件に関する正式な声明を発表しておらず、侵害がどのように発生したのかについて詳細を求めるBleepingComputerからのメールにも回答していません。
本件、または未公表の他の攻撃に関する情報をお持ちの場合は、Signalの646-961-3731、または[email protected]まで、機密扱いでご連絡ください。
より大規模な侵害の噂
未検証の主張では、Ubisoftのインフラ内でさらに大規模な侵害が発生したとされています。
セキュリティ研究グループVX-Undergroundによると、脅威アクターは、最近公表された「MongoBleed」と呼ばれるMongoDBの脆弱性を用いてUbisoftのサーバーに侵入したと主張しています。
CVE-2025-14847として追跡されているこの欠陥は、認証なしのリモート攻撃者が公開されたMongoDBインスタンスのメモリを漏えいさせ、認証情報や認証キーを露出させることを可能にします。公開されたMongoDBサーバー内のシークレットを探索する公開PoCエクスプロイトもすでにリリースされています。
VX-Undergroundは、複数の無関係な脅威グループがUbisoftを標的にした可能性があると報告しています:
- あるグループは、ユーザーデータにアクセスすることなく、Rainbow Six Siegeのサービスを悪用してBANやゲーム内インベントリを操作したと主張しています。
- 2つ目のグループは、MongoBleedを使ってMongoDBインスタンスを悪用し、Ubisoftの内部Gitリポジトリへ横展開したとされ、1990年代から現在に至る内部ソースコードの大規模アーカイブを盗んだと主張しています。
- 3つ目のグループは、MongoBleedを通じてUbisoftのユーザーデータを盗み、身代金の支払いを迫って同社を恐喝しようとしていると主張しています。
- 4つ目のグループはこれらの主張の一部に異議を唱え、2つ目のグループは以前からUbisoftのソースコードにアクセスしていたと述べています。
BleepingComputerは、MongoBleedが悪用されたかどうか、内部ソースコードにアクセスされたかどうか、顧客データが盗まれたかどうかを含め、これらの主張のいずれも独自に検証できていません。
現時点で分かっているのは、UbisoftがRainbow Six Siegeにおけるゲーム内の不正行為を確認したということだけで、より大規模な侵害を示す公的な証拠はありません。
Ubisoftが追加の詳細を提供した場合、またはこれらの他の主張について新たな情報が判明した場合、BleepingComputerは本記事を更新します。
