ゲーム流出が刑事事件になった後、スタジオは何を証拠として出せるのか

流出が刑事事件になった途端、証拠の基準が変わった

上海で未公開ビルドから中身を抜き出した三人が摘発され、そのうち二人が4月24日に有罪となった。

手口は込み入ったものではない。2000年以降生まれの蘇・呉・周の三人が内部テストビルドを入手し、未公開素材を抽出して動画プラットフォームに投稿した。原神、崩壊：スターレイル、ゼンレスゾーンゼロの未発表キャラクターやスキル演出、ゲーム内シーンがそうして先に出回った。動機は平凡で、アカウントに流入を集め、プラットフォーム報酬と視聴者からの投げ銭を得ることだった。警告を受けて動画を消せば無かったことになると信じていたという。発覚の経緯も偶然に近い。2025年10月、警察が上海市徐匯区のmiHoYo拠点を定期訪問した際に見つけ、事件は2026年2月27日に公表された(Shanghai Daily)。

判決は4月24日に出た。罪名は著作権侵害で、蘇は懲役1年2か月執行猶予付き、呉は拘留1年執行猶予付きとなった。蘇の動画は60万回、呉の動画は30万回を超えていた(Global Times)。

スタジオ側が持っていた道具を並べると、空白がそのまま見える。重要なことは全部、誰も気づかないうちに終わっていた。ビルドは建物の外に出て、どの配布分から何が抜かれたのかはどこにも記録されず、再生数が60万を通過していく間その数字を押さえたものもなかった。残ったのは事後の削除要請だけである。

作業量も軽くない。HoYoverseは2025年だけで2,388件の民事訴訟を提起し、警察と22件の刑事捜査に協力し、988のアカウントを停止させ、1,240件の公開謝罪を得た。削除した侵害リンクは10万9,000件を超え、回収した損害賠償と和解金は3,700万元、約538万ドルだった(AUTOMATON WEST、GamingOnPhone)。訴訟件数で回収額を割ると、一件あたりの平均は数千ドル台に収まる。法務部門が工場のように回っていて、単価はその水準だということだ。問題は流出が起きることではなく、一件を処理する費用が回収額をほとんど食い尽くすことにある。

変わったのは感情ではなく基準線だ

変わったのは感情ではなく基準線である。

中国の最高司法機関が2025年4月に示した新しい司法解釈は、刑事立件の要件を数値で固定した。侵害物500件以上の流布、ダウンロード1万件以上、再生数10万回以上、あるいは有料会員1,000人以上のサービス運営である(Shanghai Daily)。4月の有罪判決は、その経路が最後まで実際に機能することを初めて示した事例だ。miHoYo側もこれを新しい司法解釈のもとで出た最初のゲーム流出刑事事件と説明している。

数値基準はソフトウェアに有利な条件だ。人の判断ではなく数えれば済むからである。これまで証拠が買えたのは削除までだった。時刻が刻まれ原本が保存された証拠は、いまや刑事立件まで届く。流出者が投稿前に天秤にかけるものが変わり、パブリッシャーの法務が月曜の朝にできることも変わる。

同じ基準線には罠も仕込まれている。再生数はプラットフォームの上にあり、プラットフォームの上のものは消される。上海の三人も消せば済むと信じていたし、機械的には半分正しい。消せばカウンターは消えるのだ。12万回を通過した瞬間に誰もスナップショットを残していなければ、その動画が基準を超えたという事実自体を後から証明できない。つまりこの市場の中核機能は検知ではなく、保存のタイミングである。

視野を広げればゲームだけの話でもない。公開前の試写用素材、未発売の音源、発表前のハードウェア図面やレビュー資料も同じ構造に置かれている。ただし基準が数字で立ち、判例ができた場所はいまのところ中国のゲームだ。最初の顧客の住所はすでに決まっている。

三層で積むが、売る順番を守る

三層で積む。ただし売る順番は守る必要がある。

一層目は証拠層で、これが楔になる。監視対象リストを定義し、候補フレームを知覚ハッシュで非公開の素材フィンガープリント台帳と照合する。一致が出たらURL、初出時刻、累積再生数の推移、アーカイブ原本、ハッシュアンカーを収めた束を生成し、各法定基準線に対する現在位置を先頭に表示する。エンジンに手を入れる必要がないので一週間で動かせるし、契約はセキュリティ部門ではなく法務で締まる。

二層目は受領者ごとのビルド標識だ。よくある誤解は、すべてのテクスチャにステガノグラフィを埋める必要があるという考えで、それは高くつくうえ圧縮で死ぬ。実際に効くのは、誰も見ず誰も剥がさない場所に受領者ごとの差分を置くことである。文字列テーブルの余白、アセットのロード順、使われていないUVオフセット、ビルドごとに異なるオーディオディザ、シェーダー定数の微小なノイズといったものだ。目的は10秒のクリップやスクリーンショット一枚から配布分を特定することであって、完全な秘匿ではない。

三層目はアクセス台帳である。どのビルドハッシュがどのアカウントのどの端末に出たかを記録し、証拠束と接合すれば、配布から公開までの鎖が一枚の文書になる。上海の捜査で最も時間を要したのがアカウント追跡だったことを考えれば、この接合部にこそ価値がある。

flowchart LR
  A[事前ビルド配布<br/>受領者ごとの標識] --> B[アクセス台帳<br/>ビルドハッシュ・アカウント・端末]
  C[公開プラットフォーム監視<br/>映像と画像の照合] --> D[証拠束<br/>時刻・ハッシュ・累積再生数]
  B --> E[出所特定<br/>どの配布分か]
  D --> E
  E --> F[基準線判定<br/>削除・民事・刑事の分岐]

参入は中国のパブリッシャーからだ。執行経路が実際に最後まで通る唯一の場所であり、予算があることも公開情報で裏付けられている。次が中国に展開する日本や韓国のパブリッシャー、そして事前配布が多いコンソール・PCの大型タイトルという順になる。

見るべき数字は二つだ

見るべき数字は二つだ。最初の公開投稿から証拠束が完成するまでの時間と、確認された流出のうち特定の配布分まで遡れた割合である。前者が一日を超えるなら、これは執行の道具ではなくレポートの道具であり、レポートの道具ならすでに足りている。

ただし本当の採用障壁は性能ではない。出所特定はしばしば社内を指す。上海の三人も内部テストビルドから抜いていた。追跡機能を入れるとは、いつか自社の従業員名やQA協力会社の名前が画面に出る仕組みを入れることであり、それはスタジオが開けたくない人事と契約の問題を開く。だから既定のレポートは流出の事実だけを見せ、氏名は指定された一人のセキュリティ責任者にしか開かないモードが初日から必要になる。これは付加機能ではなく、契約が通るかどうかを分ける条件だ。

逆側のリスクも織り込むべきだ。執行を安くする道具は過剰な執行も安くする。HoYoverseの2,388件という数字は成果であると同時にコミュニティ側の負債でもあり、顧客は最終的にどこに線を引いたかで評価される。だから法定基準線の判定を製品の中に持たせ、数値が実際に満たされた案件にだけ刑事の経路を勧める設計にする。コンプライアンスの飾りではなく、顧客が次の見出しにならないための安全装置である。

この製品が最も売れるのは流出が起きた翌週だ。困るのは、その時点で始めても手元に何も残っていないことである。標識はビルドが出る前に埋めてこそ標識であり、再生数は消される前に押さえてこそ数字になる。