PHISHDESTROY科学捜査 · Valve / Steam
ライセンス・権利・免責事項
ライセンスおよび法的免責事項 — パブリックドメインへの寄贈
すべての権利 人類に身を委ねた。
このセクションが証明すること
本文書は、「PhishDestroy」Steam ドシエを管理する、無条件のパブリックドメインへの寄贈（CC0 1.0 Universal）およびMITソフトウェアライセンス条項を定めるものである。すべてのフォレンジック調査結果、証拠データセット、ネットワークグラフ、および分析手法は、世界中の規制、法律、学術分野において制限なく利用できるよう、取り消し不能な形でパブリックドメインに提供される。
← エグゼクティブ・ブリーフィングに戻る
PhishDestroy この資料に関するあらゆる権利（複製、販売、自身の名前を記載することなど）を放棄します。以下は、一つの語り口で書かれた2つの文書です。一つは、私たちが普段通りの書き方で記したValveへの公開書簡であり、もう一つは、この内容を今後推進していく当局に向けて作成された正式な権利放棄書です。
調査・Valve Corporation / Steam
パブリック版 — 有効期限なし、取り消し不可
免除
第I節ライセンス — 厳密な法的な部分というよりは、人間的な側面
PhishDestroy この素材に関するあらゆる権利を放棄します。ゼロ。一切なし。完全に手放しました。複製しても、販売しても、自分の名前を付けても、上司の体にタトゥーとして彫っても、何でも構いません。クレジット表記も、DMも、お礼のカードも一切不要です。
実際のルールが1つ（そう、たった1つです）
自分がテロリストかどうかは、あなた自身が決めることではありません。
ロシア、またはOFACの制裁対象国にお住まいのユーザーの方は、本資料は対象外です。抜け道などありません。制裁の下でどうぞお楽しみください。
もしモスクワにいながらSteamの地域設定をトルコに変更したなら――その独創的な地理感覚、おめでとう。あなたは依然としてロシア人です。制裁は依然として適用されます。まさにそれが肝心な点なのです。
第II節これが何であり、なぜ存在するのか
Valveに関する情報を、Valveの平均的な社員が自分自身について知っていることよりも多く公開していく予定です。これは自慢ではありません。ただ、そうなってしまっただけです。
どうしてこんなことになってしまったのか？ 面白い話なんだけど、Steamが実質的に私たちを作り出したんだ。そのサイトは、詐欺師やサポートチケット、利用停止回避のエコシステムといったものの中で私たちを育ててくれた――そして今、こうしてここにいるわけだ。恨みなんてないよ。むしろ、詩的だと言えるかもしれない。
まだその経緯を知らない方のために――私たちはすでに、Valveの非常に高額なヨーロッパの弁護士たち（ご参考までに、Taylor Wessingです）と面会しています：
https://phishdestroy.medium.com/my-dog-vs-elite-gdpr-lawyers-the-valve-data-breach-nobody-is-talking-about-f6f7683d813d アーカイブ済み 2026-08-21 ↗
素敵な出会いだった。特に、彼らの時間単価を考えるとね。
Valveは知っていたのか？ はい。Taylor Wessingは知っていたのか？ ほぼ間違いなく「はい」だ。しかし、あれほど裕福であれば、法律というのは義務というより、あくまで「雰囲気」のようなものだろう？
実のところ、それこそが答えのすべてなんです。
Steam 長年にわたり、詐欺師たちを「育てて」きました。必ずしも意図的にそうしていたわけではありません――時には、単にValveと関わったというだけで、詐欺師たちにその「痕跡」がついてしまうこともありました。私たちはこれを大げさに言おうとしているわけではありません。正確に伝えようとしているのです。正直なところ、大げさに言うよりも正確に伝えるほうが私たちにとっては難しいのですが――これが私たちの書き方なのです。
これは矛盾でしょうか？
— いいえ。
解決できるのでしょうか？
— はい。でも、NDAには署名しませんし、わずかな報酬でバグ報奨金プログラムに参加するつもりもありません。
このなりすまし問題について公に記事を書く前に、その修正が行われるまで4年以上も待たなければなりませんでした。というのも、もしもっと早く記事にしていたら、Steamは被害者ぶった顔をして「深刻な脅威だ！」と叫び、私たちを永遠に彼らの法的所有物にしてしまうような文書に署名させる見返りに、たかが小銭を提示してきたでしょうから。ごめんなさい、結構です。
（ちなみに：Valve自体もNDAに違反しています。同社自身の従業員が違反しているのです。上層部の人たちです。でも、まあ、私たちの件について話しましょう。）
第III節Valve への公開書簡 — マジで、これ読んでみて
Valve：このドメインの削除をご希望の場合は、メールにてご連絡ください。その件に関しては、外部の弁護士を介す必要はありません。
ご存じない方のために説明すると、パトリック博士はアバディーン大学で国際商法の法学修士号を取得しており、さらに――なんと――IT法に関する博士論文を実際に完成させた人物です。 彼は最近、テイラー・ウェッシングのパートナーに就任しました。同事務所のビジネスモデルは、Valveのような企業に法外な金額を請求し、相手側が資金や忍耐力を尽き果てるまで訴訟を長引かせることにあります。
彼を責めるつもりはない。時間単位で報酬を支払う裕福で罪を認めた依頼人――これは確かなキャリアアップだ。ただ、あなたがその費用を負担すべきではないと思うだけだ。
取引の概要（公開オファー、弁護士は不要）
Valveが現実的に手が届くのは、そのドメインだけだ。調査、紹介、そして関連リソースはすでに動き出しており、ドメインの有無にかかわらず、それらは継続される。
そのドメインをご希望の場合は：
IT法務の専門家に、適正な価格を設定してもらいましょう。
50% は、「SEAL」財団に寄付されます。
そのドメインを削除する。大騒ぎもなければ、裁判もなし。これで終わりだ。
これは脅しではありません。実際に手の届く範囲にある、たった一つのものに対する率直な提案です。これ以外の方法では手に入れることはできません――それがこの状況の構造なのです。
私たちは「Valve」に直接的な「打撃」を与えることになるのでしょうか？ おそらく、彼らが財政的に痛手を感じるような形ではないでしょう。私たちも現実を見失っているわけではありません。しかし、私たちは、影響力を追い求めることなく、誠実かつ率直に活動していきます。なぜなら、私たちに影響力など必要ないからです。私たちに必要なのは、時間をかけてじっくりと見れば、もともと公に明らかだった事実を、世界中の人々に知ってもらうことなのです。
当社には5年分のアーカイブがあります。Valveの弁護士たちが証拠開示手続きで提示した内容――捜査官が閲覧できるデータ、指紋、そして彼らが文字通り私たちに手渡した書類の記録――だけで十分です。生データをリークする必要はありません。
誰が何を受け取るのか
規制当局には原本が渡される。
研究者やジャーナリストには、一部が削除されたバージョンが提供される（被害者の報告、子供たちのログイン情報、そしてValveの魅力的なサポートコメントは、言うまでもない理由で削除されている）。
被害を受けたアカウントの中には未成年者も含まれていましたが、彼らには通知が行われませんでした。この調査結果は、被害者の報告や個人識別情報などが削除された状態で規制当局向けの資料に含まれています。これは、記事の中で取り上げるべき内容ではなく、データ保護当局が扱うべき事項だからです。
また、Valve さん――この件についてどう対応するかを決める前に、一つ明確にしておきたいことがあります。「PhishDestroy」はコミュニティであり、個人ではありません。コミュニティと話し合うこともせずに、コミュニティ宛てに法的文書を送付し、データを搾取しただけでアカウントを凍結した時点で、そのことはすでに理解されていたはずです。
このコミュニティは、Valveとは何ら対立関係にありません。私たちがわざわざ探したわけではありません。あなたが育てた詐欺師たちが、こちらに近づいてきたのです。私たちは彼らをブロックしました。そして、今こうしてここにいるわけです。
第III-B節関連リソース — 特に Steam への注記
増幅の仕組みについては率直に説明したいと考えています。なぜなら、それが存在しないふりをすることは不誠実だからです。
PhishDestroy によると、現時点でのコミュニティの状況から判断すると、この資料を取り上げて活用してくれる提携先が少なくとも2つあるようです。
実際には、これは次のようなことを意味します：
彼らは、重複するテーマについて、それぞれ独自の切り口で取り組んでいる。
彼らは独立しています――私たちの指示に従うこともなければ、私たちが彼らの指示に従うこともありません。大まかなテーマは同じですが、手法は異なります。
彼らはパート1.では活動を開始しません。彼らは注視しています。
Valveが当該サイトの削除を行わないことを選択した場合：
「Part 2」または「Part 3.」の後に、それらが公開される見込みです。
彼らは私たちの研究から有用な部分を取り入れ、それに独自の知見を加え、自分たちの名前で発表するだろう。
まさにこれが、1条のライセンスが想定しているようなケースです。コンテンツは必要な場所へ行き、補足され、さらに充実していく――そして、私たちも相手も、互いに帰属表示の義務を負うことはありません。
（責任の連鎖について疑問を抱いている弁護士の方へ：そのようなものは一切ありません。これらの情報源は、当社からの指示も、資金提供も、データ提供も受けていません。彼らは公開されている情報を読み、独自の結論を導き出しているだけです。まさに、あなたも同じようにできるのです。）
これは相手を威嚇するために言っているわけではありません。Valve側の戦略立案担当者が、情報環境が実際にどのような状況にあるかについて正確な情報を得られるようにするために言っているのです。
私たちの資料を引用し、それを補足する情報源の一つが「記事」です。2つの情報源がそれぞれ独立して同様の結論に達している場合、それは「パターン」となります。規制当局が注目するのは、こうしたパターンなのです。
第V節RCE の報告 — 検証待ち
Steamで配信される名称非公開のゲームにおける、リモートコード実行（RCE）の可能性に関する報告を追跡しています。報告では2026年8月から問題が継続しているとされています。サーバー接続時の挙動はUnturnedと比較されていますが、共通の技術的原因は確認されていません。
Valveの認識、バグ報奨金プログラムへの報告の有無と状況、修正時期は未確認です。ゲーム名や悪用の詳細は公開しません。これは検証を要する報告であり、確認済みの調査結果ではありません。
公開書簡の終わり
フォーマルな話し方が始まります
正式な語体・権威ある場面で
宣言利用および権利について
PhishDestroy プロジェクト・サイバーセキュリティ連合
この声明は、本照会資料に含まれるすべての提出書類および添付資料に添付されています。本資料が渡されるあらゆる当局、裁判所、規制当局、検察官、研究者、ジャーナリスト、または影響を受ける方々を対象としています。
1. 利用に関する制限はありません
1.1 本照会において連合が作成したすべての資料（事実の陳述、分析、作成した証拠資料、ツール、および調査結果）は、いかなる権利も留保することなく公開されます。
1.2 どなたでも、当社への事前のお問い合わせや通知なしに、以下の行為を行うことができます：
その全部または一部を複製すること；
それを適応させ、編集し、書き直し、構成を変更し、または修正すること；
それを変換してください；
抜粋したことを明記せずにそれを抜粋すること；
それを公式文書、調査結果、決定、訴答書、報告書、または報道資料に盛り込むこと；
それを受取人自身の作品、あるいは受取人自身の調査結果であるかのように提示すること；
それを原料として使い、残りは廃棄する；
そして、同じ条件で他の誰かにそれを引き継いでください。
1.3 出典の明記は不要であり、求められてもいません。当連合の名称を挙げたり、引用したり、クレジットを記載したり、謝辞を述べたり、相談したり、通知したりする必要はありません。 本紹介資料が当局の業務に役立ったとしても、当連合が一切言及されなかった場合、それは「完全に満足のいく結果」であり、当連合は、その点について疑問が提起されることのないよう、あらかじめその旨を明記しておきます。
1.4 一方、当局が連合を出典として引用する方が都合が良いと判断した場合は、そうしても構わない。その選択は完全に受領者の裁量に委ねられており、どちらの方法を採っても何ら影響はない。
1.5 これは「権利放棄」であり、ライセンスの提供ではありません。これに対する承諾は不要であり、いかなる義務も課さず、また違反となることもありません。 当連合が公開するソフトウェアは、別途MITライセンスの下で公開されています。研究およびその成果は、法的に許容される最大限の範囲でパブリックドメインとして公開されており、管轄区域において権利放棄が認められない場合、当連合は同等の効果を持つ、取消不能かつ全世界を対象とするロイヤリティフリーのライセンスを付与します。
2. なぜこれが単なる礼儀としてだけでなく、実用的な面でも重要なのか
2.1 当局は、外部の当事者の依頼で行動しているように見えたり、その当事者と何らかの利害関係が生じたりすることを恐れて、その当事者から提供された資料を信頼することに合理的な躊躇を示すことがある。
2.2 ここには、何ら関与すべき事項は存在しません。当連合は、何も求めず、何も受け取る権利もなく、何も保持せず、いかなる期待も抱いていません。当連合は、そうする根拠を一切保持していないため、後日、権利を主張したり、功績を主張したり、誤用について苦情を述べたり、資料の表現内容に異議を唱えたりすることはできません。
2.3 したがって、この資料を利用する当局は、連合を代表して行動しているわけではない。単に、たまたま他者がまとめた公開情報を活用しているに過ぎない。
3. もうすべて開いています
3.1 連合の活動は、原則として公開されています：
調査結果は、以下のサイトで公開されています。 https://phishdestroy.io かつ自由に閲覧可能であり、
このツールは、MITライセンスに基づき、以下のURLでオープンソースとして公開されています。 https://github.com/phishdestroy アーカイブ済み 2026-09-11 ↗;
この方法論は、照会文書そのものの附属書AのセクションAおよび16のセクションDに記載されており、各情報源の種類ごとの重要度や制限事項も含まれている；
同連合は寄付を一切受け付けておらず、その方針については2018.の時点で公表しています。
3.2 公表されていない資料は、法的に、あるいは安全上の理由から公表できないもの、すなわち、被害者や第三者の個人情報、および情報源が報復にさらされるおそれのある情報に限られます。こうした資料は、機密として当局に提供されており、証拠目録に記載されています。
3.3 同連合は、他者の行動に対する監視を求めるのと同じ条件で、自らの行動に対する監視も受け入れる姿勢を示しており、データ処理に関する情報を関係当局に自主的に提供するとともに、廃棄に関する指示を求める要請も行っている。
4. 証拠一式の完全性
4.1 添付資料は、提出時に同封されるか、指定がある場合は、安全な通信経路を通じて要請に応じて提供されます。これらは公開アドレスでは公開されておらず、そのようなアドレスを推測してはなりません。この種の資料は、当局に直接提供されます。
4.2 各配信には、提供されたすべてのファイルのSHA-256ダイジェストを記載した「SHA256SUMS」ファイルと、独立したOpenPGP署名「SHA256SUMS.asc」が添付されています。
4.3 署名鍵は以下のURLで公開されています。 https://phishdestroy.io/.well-known/pgp-key.txt また、keys.openpgp.org にも掲載されています。この一連の投稿のすべてに、そのフィンガープリントがレターヘッドに記載されています。
4.4 受信者は誰でも、自分が所持しているファイルが、送信されたままの状態で改変されていないものであることを、いつでも確認することができます：
gpg --verify SHA256SUMS.asc SHA256SUMS
sha256sum -c SHA256SUMS
4.5 その目的は形式的な手続きのためではありません。それは、後日、証拠品の正確性や完全性について異議が申し立てられた場合、議論ではなく計算によってその問題を解決できるようにするためです。
5. 登録について――なぜこの免除措置は単なる寛大さではなく、実用的なものなのか
5.1 当局は、連合が公表した調査報告書を目にし、その内容が率直で、対立的であり、時には風刺的であると感じるかもしれない。その印象は正しい。連合は意図的にそのような書き方をしており、そのことについて謝罪するつもりはない。
5.2 また、これは規制手続きや司法手続きにおいて不適切な表現であることも認識している。 重大な事案は、選挙運動のような口調で語られるべきではない。当局に提出される調査結果は、その限界を認めた上で率直に述べられるべきであり、読者が本質を理解する前に、その口調を差し引いて判断することを強いられるようなものであってはならない。
5.3 まさにそれが、連合が著作者権を放棄する理由である。1条に規定されたこの権利放棄は、登録内容から実質的な部分を切り離すための仕組みである。当局は有用な部分を取り入れ、独自の表現で書き換え、連合の名称とともに、連合の文体による表現をすべて排除することができる。 そうしても何も失われることはなく、連合としてもその方が望ましいと考えています。
5.4 また、連合は、この記録が「方法」そのものと誤解されないよう求めています。 公表された文面は対立的ではあるが、その根底にある実務は不注意なものではない。本報告書全体を通じて、推論は観察事実から区別され、証言は証言として明示され、情報源には重み付けがなされその弱点も指摘され、数値にはその限界が示され、連合が証明できない点は断定としてではなく、当局への質問として提示されている。 証拠が連合自身の立場に反する場合、連合はそれを明言している――並行する照会文の付属書A、7,段落およびセクションBを参照のこと。0
5.5 この連合は、その活動姿勢と資金源の関連性について説明している。なぜなら、この二つは切り離せないものだからだ。 同連合は、いかなる者からも金銭を受け取らない――寄付も、報奨金も、依頼主も、スポンサーも一切ない。この拒否姿勢こそが、率直な発言を可能にしている。収入を守る必要がある組織は、自らが依存する政党について発言を控えざるを得ない。守るべきものがないため、同連合には発言を控える必要がないのだ。
それが、この連合が存続し続けている理由でもあります。他に原動力となるものは何もないのです。仕事は、ただ行われているから行われているのであり、それを担う人々が手を引けば、そこで止まってしまうのです。
5.6 当局は、こうした主張を一切受け入れる必要はない。これは、連立政権の広報活動の口調が、現在審議中の案件に対する配慮の度合いとして解釈されないようにするためである。
6. 連立政権が提供しているもの――同政権自身の言葉による説明
情報、調査、観察。
連合には主張する資格がないという結論は、一切示されていません。何かが推論されている場合は、その旨が報告書に記載されています。何かが証言に基づいている場合は、誰の証言であり、どのような制限があるかが報告書に記載されています。連合が質問に答えられない場合は、その旨も記載されており、誰が答えられるかも明記されています。
同連合は、自身やいかなる個人に対しても、救済措置、支払い、承認、あるいは結果を求めてはいない。同連合が求めているのは、回答を強制する権限を持つ機関が、照会書に記載された質問をValve社に対して提示することだけである。
結びの言葉この件を引き継いでくださる方へ
この資料を必要な場所まで届けてくださる方々に、心より感謝申し上げます。おそらく、そう簡単にはいかないでしょう。「Valve」は資金力が豊富ですし、「Taylor Wessing」は時間単位で料金を請求します――この組み合わせは、まさにあなたのような人々がゴールにたどり着く前に諦めてしまうよう仕組まれているのです。
自分たちが何をしているのか、誰について書いているのか、私たちはわかっています。『Valve』が私たちを育ててくれたのですから、彼らを理解できないはずがありません。
PhishDestroy Valve とは何ら対立関係にありません。私たちが遭遇した、あの規模の詐欺グループを唯一摘発しただけであり、Valve と争おうとしたわけではありません。単に、どの道を進んでも最終的に彼らに行き着いたというだけです。対立などではなく、単なるネットワーク構造の問題です。
Valve PhishDestroyの問題を解決できないのは、解決すべきものが何もないからだ。私たちには何の関わりもない。彼らの資金調達スキームや過剰利益に関するデータは、そのほとんどが公にされている――ただ、それを見るのに十分な時間を費やす必要があっただけだ。 これを「成功の百科事典」だと考えてみてください。「ロシアのハッカーに当社の無料ゲーム（有料版はそもそも海賊版にされないだろうが）を海賊版にされないよう、制裁に従わない方法」。その趣旨はお分かりいただけるでしょう。
著作者情報は必要ありません。
出典の明記は必要ありません。
勝つ必要なんてない。
この照会書にすでに記載されている質問を、Valve に対して、回答を義務付ける権限を持つ、実質的な権限を持つ人物が尋ねる必要があります。
以上です。お願いはそれだけなんです。
PhishDestroy — 公開調査 — すべての権利は人類に譲渡された
OFAC管轄地域へのアクセス：禁止