ポーカー用ツールのマルウェアでホールカードが露出

JurojinとWIREDによると、攻撃者は広く使われているサードパーティ製ポーカーツール2つの更新にリモートアクセスソフトを紛れ込ませ、主にハイステークスの標的プレーヤーのホールカードを見ようとした。 対象のツールはJurojinとIntuitiveTablesで、どちらもマルチテーブル用のサードパーティ製プログラムだ。関係するポーカールームの対応は、アカウント停止や返金から返金拒否まで大きく割れており、ACRポーカーは11月4日からテーブル保護機能ScreenShieldをデフォルトで有効にする。

攻撃の手口

10月2日に最終更新されたセキュリティ通知で、Jurojinは、2025年6月から2026年1月の間に、攻撃者が「特定のJurojinユーザーグループに配信される更新パッケージを、断続的に改ざん版へ差し替えることができた」と述べ、「それらのパッケージの一部にはリモートアクセスツールが含まれていた」としている。Jurojinはこれを「大規模攻撃ではなく、極めて標的を絞った作戦」と呼び、特定の対戦相手を狙い、「ホールカードを遠隔で見ることを目的としていた」と説明している。この期間はJurojin自身の更新経路に関するもので、Jurojinは2026年1月28日以降、サーバーに他のものはアップロードされていないとしている。

WIREDは10月29日に公開した調査で、このリモートアクセスプログラムをMeshAgentと呼んでいる。9月29日にXで最初に警鐘を鳴らしたセキュリティ研究者WolfSecによると、IntuitiveTablesの開発者はテスト用PCにJurojinを入れており、そのマシンが改ざんされた更新で感染した。WolfSecは、その後、開発者が新しいビルドに署名する前に攻撃者がIntuitiveTablesに悪意のあるコードを追加し、そのビルドが一般向けダウンロードとして公開されたと述べている。WIREDはこの経路をWolfSecの説明として扱っており、IntuitiveTablesの開発者の発言は引用していない。

WolfSecによると、改ざんされたIntuitiveTablesのビルドは、攻撃者のサーバー上にあるリストのユーザー名にだけ作動した。WolfSecはWIREDにこう語った。「ハードコードされたリストに載っていれば、悪意あるプログラムとして動いた……載っていなければ、通常のプログラムのままだった。」 WIREDによると、このリストは複数のサイトでプレーする常連のハイステークスプレーヤーが中心だった。

被害の規模

ここでは主張が分かれており、以下の数字は推計であって確定した合計ではない。

• WolfSecはWIREDを通じて、改ざんされたソフトが1,000人超のユーザーに届いたと推計している。WIREDは、数年にわたり数百人のプレーヤーが標的になったとされると伝えている。

• WIREDが取材した情報源は、攻撃者がGGPokerとACRのプレーヤーから150万〜400万ドルを奪ったとされると推計している。

• Jurojinの見方はもっと狭い。「ホールカードが露出している間に実際に攻撃者と対戦して被害を受けたハイステークスプレーヤーは、ほんの一握りだった。」さらにJurojinは、「露出は端末が感染していたことを意味しない」と付け加えている。

WIREDは、記事で描かれたプレーヤーが（10月29日時点で）犯罪で起訴されていないと伝えている。当サイトは、コミュニティの報告で名指しされた人物の名前を出さない。

各ポーカールームの説明

ACRポーカー / Winning Poker Network（WPN）。 WPNは10月16日の発表で、ゲームインテグリティ担当チームがMeshAgentを検出した端末のプレーヤーの200万ハンド超を調べ、「そのレビューの対象になったプレーヤーがWPNでホールカードの情報を使っていた証拠は見つからなかった」と述べている。調査したあるアカウントは、別のインテグリティおよびリスク管理上の理由で閉鎖したが、この判断はホールカードに関する調査結果とは別だとしている。WIREDによると、ACRは10月18日に、返金はしないとプレーヤーにメールで伝えた。

11月4日から、画面キャプチャや画面共有ツールにテーブルの内容を見せないScreenShieldが、ACRポーカーのプレーヤー向けにデフォルトで有効になる。WPNはこれをネットワーク全体の標準と説明している。配信、コーチング、録画のために画面キャプチャが必要なプレーヤーは、クライアントの設定で自分でオフにできる。WPNは9月29日から、検知基準に該当した端末のプレーヤーには既に有効にしており、ScreenShieldは「あらゆるサイバー脅威への完全な答えではない」と述べている。WPNはまた、クライアントと併用するサードパーティ製ソフトを禁止しうる方針を検討しているが、決定はしていない。

これとは別に、ACRは10月17日、クライアントのソフトウェアのバグが「潜在的なセキュリティ上の脆弱性」を生んでいたが修正済みで、アカウントが侵害された証拠は見つかっていないと述べた。ACRはそのバグが何だったのかを明らかにしておらず、ツールの更新との関連も示していない。

GGPoker。 GGPokerは10月15日のブログ記事で、JurojinやIntuitive Tablesを含むサードパーティ製のポーカーソフトと自動化ツールをすべて禁止し、インテグリティ監視に異常に高い勝率の検知を加えた。クライアントには、テーブルをスクリーンショット、画面共有、リモート閲覧アプリから隠すScreen Guardなど、任意のセキュリティ機能も導入した。GGPokerは、資金を暗号資産ウォレットまで追跡し、調査結果を「Coinbaseと共有した。資金はそこに入金されたと考えている」とし、口座の制限を求めたと述べている。

CoinPokerとClubWPT Gold。 WIREDによると、CoinPokerはアカウントを停止し、被害を受けたプレーヤーに10万ドル超を返金した。ClubWPT Goldもアカウントを停止し、あるプレーヤーに損失分を返金した。

当サイトの見方

上の報道では、マルウェアはプレーヤーがポーカークライアントと並べて動かすサードパーティ製ツールに乗って広がった。ACRの別のクライアントのバグは、それらとは結び付けられていない。Jurojinを使っている場合、同社の通知は、同社からのメールを受け取った場合や警告の兆候があった場合にWindowsのクリーンインストールを勧め、jurojinpoker.comで確認ツールJurojin Mesh Checkを提供している。通知は「クリーンな結果は保証ではない」としている。ツールは開発元の公式サイトからだけ入手し、「チェック」や返金を持ちかけるメッセージには警戒したい。Jurojinによると、同じ攻撃者がポーカールームや有名ツールを装ったフィッシングサイトも運営していた。返金は各ルームの判断で、10月31日時点では対応に大きな差がある。

ポーカールームと紛争については、ブライン・ケニーによるGGPoker親会社への提訴、888のアルバータ規制ポーカー開始、ノルウェーのノルスク・ティッピング オンラインポーカー意見公募も参照。暗号資産サイトへの侵入についてはGamdomのホットウォレット事案を参照。

利用可否： ACRポーカー、GGPoker、CoinPoker、ClubWPT Goldは、すべての国でライセンスを受けているわけではなく、プレーできるかどうかは居住地によって異なる。