Mod とクライアントの安全

ソフトウェアのバージョンと日付は、2026 年 10 月 25 日に各公式のサイトと GitHub で確認したものです。

クライアントの Mod とサーバーの Mod

Mod には、入れる場所によって 3 つの種類があります。企画の準備では、参加する方に何を入れていただくかを、この区別で決めます。

どの種類かは、Mod 自身が宣言しています。Fabric は fabric.mod.json の environment(client、server、*)、NeoForge は neoforge.mods.toml の依存の side で示します。Mod の配布サイトの Modrinth では、2025 年 8 月から、Mod のページに「クライアントだけ」「サーバーだけ」「両方」などの区分が表示されます。ただし、区分の情報が正しくない Mod もあるため、企画の前に実際に試して確かめます。

プラグインはサーバーにだけ入れるため、プラグインで作る企画では、参加する方は何も入れずに参加できます。参加する方の準備の手間とリスクを減らしたい場合は、Mod ではなくプラグインで作れないかを、まず検討します。

ランチャー

Mod を入れるには、公式のランチャーで Mod の基盤 (Fabric や NeoForge) を入れるか、Mod の管理に向いたランチャーを使います。主なランチャーです。

どのランチャーでも、Java 版を購入した Microsoft のアカウントでのログインが必要です。2023 年 9 月で Mojang のアカウントからの移行の受け付けは終わり、移行していないアカウントではログインできません。

ランチャーにも分裂の歴史がある

Prism Launcher は、PolyMC から分かれたものです。2022 年 10 月に PolyMC の所有者が、ほかの開発者を外し、行動規範を削除したため、開発者たちがフォークして Prism Launcher を始めました。Linux の配布の NixOS も、PolyMC のパッケージを Prism Launcher に置き換えています。ランチャーも、開発の体制が変わることがあるため、今の状況を確かめて選びます。

購入したアカウントなしでプレイできるランチャー

TLauncher など、購入したアカウントなしでプレイできるランチャーは、Minecraft の利用規約に反します。セキュリティ企業の Malwarebytes は、TLauncher を望ましくないプログラム (PUP) として検知しています。また、こうしたアカウントでは、通常の設定 (online-mode) のサーバーには参加できません。企画では、正規のアカウントとランチャーを使っていただくよう案内します。

選ぶ前に、最新の情報を確認する

ランチャーは、開発の体制や配布の形が変わることがあります。選ぶときは、次の点を、その時点の公式の情報で確認します。

• 開発が続いているか: 以前の GDLauncher のように、開発を終え、後継 (GDLauncher Carbon) に移ったものもある
• ライセンス: オープンソースか、ソースコードの公開だけか (GDLauncher Carbon は BSL 1.1)
• 更新: ランチャーにも脆弱性が見つかることがある (Prism Launcher は 2026 年 9 月に、Mod パックの読み込みの脆弱性を修正)。最新のバージョンに保つ
• アカウント: Java 版を購入した Microsoft のアカウントでログインするものを選ぶ

Mod パックの配り方

企画で使う Mod を 1 つずつ入れていただくと、バージョンの違いや入れ忘れが起きます。Mod と設定をまとめた Mod パックにして配ります。

• Modrinth の形式 (.mrpack): Mod のファイルごとに SHA1 と SHA512 のハッシュを持ち、ランチャーが入手したファイルを照合する。クライアントだけ・サーバーだけの区分も持てる。Modrinth で公開する Mod パックは、ダウンロード元が Modrinth の CDN と GitHub、GitLab に限られる
• CurseForge の形式: manifest.json と設定のファイル。Prism Launcher、Modrinth App などでも読み込める
• 公開の範囲: Modrinth では、一覧に出さない・非公開の Mod パックにすることを申請できる。少人数なら、.mrpack のファイルを直接渡す方法もある
• 更新の管理: packwiz を使うと、Mod パックをテキストのファイルで管理し、参加する方のランチャーに更新を自動で反映できる

ファイルを直接渡す場合、CurseForge は「友人から送られた Mod パックのファイルは検査も確認もできない」と注意しています。運営する側は、配布元を 1 つに決め、ファイルのハッシュを公開して、参加する方が確かめられるようにします。

非公式の配布サイト

Mod を作者に無断で転載するサイトが、検索の上位に出ることがあります。古いバージョンや改変されたバージョン、広告やマルウェアへの誘導が含まれることがあります。

• Mod は、Modrinth、CurseForge、作者の GitHub など、作者が公開している場所からだけ入れる
• Modrinth の規約は、作者の許可のない再アップロードを禁じている
• 転載のサイトの一覧をまとめていた StopModReposts は、現在は保守されていない (一覧の最後の更新は 2024 年 3 月)。一覧にないから安全とは言えない
• CurseForge は、公式のページから入れること、Discord の DM で送られた ZIP を開かないことを呼びかけている (2026 年 5 月)

実際に起きた事案

参加する方の PC とアカウントを守る

Mod の入れ方

• Mod は、運営が案内した配布元か、Modrinth・CurseForge の公式のページからだけ入れる。運営を名乗る DM や、案内と違う場所で配られた Mod パックは使わない
• 運営が配った Mod パックでも、安全が保証されるわけではない。中の Mod の更新にマルウェアが仕込まれた事案 (fractureiser) では、正規の配布元から入手した方も被害を受けた。ウイルス対策を有効にしたまま使う
• ランチャーで、企画のための専用のインスタンス (Mod と設定を入れる場所) を作り、普段プレイしている環境と分ける。ただし、同じ PC の中のため、マルウェアは防げない。できれば、配信や仕事に使う PC とは別の PC を使う
• ランチャーは、Modrinth や CurseForge の公式の仕組みから Mod を取得するものを使い、最新に保つ
• Discord の DM などで送られてきた「試してほしい Mod やゲーム」は開かない。友人から送られてきたものも、友人のアカウントが乗っ取られていることがあるため、安易に試さない
• チートツールは使わない。サーバーのルールで禁止されていることが多いうえ、チートや非公式のクライアントを装って、アカウントの情報を盗むマルウェアが配られている

アカウント

• Microsoft のアカウントに、2 段階認証とパスキーを設定する
• ただし、PC がマルウェアに感染して、ログインのセッションを盗まれると、2 段階認証は役に立たない。感染が疑われるときは、先に PC を初期化し、別の端末から Microsoft のアカウントのパスワードを変えて、すべての端末からサインアウトする

知らない Mod を確かめるとき

• 配信や仕事に使う PC では試さない
• fractureiser には、Windows のサンドボックスから抜け出すコードが含まれていた。確かめる場合は、クリップボードの共有を切った仮想マシンを使う
• fractureiser の検知には、CurseForge (Overwolf) が公開している検査のツールが使える

Mod パックを作るときに気をつけること

Mod パックを配ると、参加する方は、主催者を信頼して中の Mod を PC に入れます。主催者が配ったものでも安全とは限らないため、作る側が、中身と配り方に責任を持ちます。

Mod を選ぶ

• 入手元は、Modrinth・CurseForge の Mod のページか、作者の公式の GitHub のリリースに限る。転載のサイトや、Discord で回ってきたファイルは使わない
• 作者と配布元が正しいか、似た名前の別の Mod ではないかを確かめる
• 更新の内容と時期に不自然な点がないかを見る。長く更新のなかった Mod の突然の更新や、作者の交代の直後の更新は、少し待ってから取り込む
• 企画に必要な Mod だけを入れる。Mod が増えるほど、確かめる範囲と、問題が起きる可能性が増える
• Mod のファイルを Mod パックに直接入れて配る場合は、Mod のライセンスと、作者が再配布を認めているかを確かめる

バージョンを選び、固定して、記録する

• Mod は、不具合や脆弱性の修正を取り込むため、できるだけ最新のバージョンを使う。ただし、最新のバージョンは、Minecraft のバージョン、Mod の基盤 (Fabric、NeoForge など)、前提の Mod、ほかの Mod との互換性に問題が出ることがある。検証用の環境で互換性を確かめたうえで、バージョンを上げる
• 使う Mod、バージョン、入手元、ハッシュを一覧にする。.mrpack は、Mod のファイルごとにハッシュを持つ
• 企画の期間中は、Mod を自動で最新にしない。fractureiser のように、正規の配布元の更新にマルウェアが入ることがある
• 更新は検証用の環境で試し、一覧を更新してから、Mod パックに反映する。Mod パックにもバージョンの番号を付け、変更の内容を参加する方に知らせる

中身を確かめる

• Mod のファイルを、ウイルス対策と、Mod 向けの検査のツール (jNeedle など。脆弱性の情報) で検査する
• 配る前に、普段使っていない環境で、Mod パックを新しく読み込んで起動を確かめる

余計なファイルを入れない

• 自分のインスタンスから書き出すと、ログ、クラッシュの記録、スクリーンショット、ワールド、サーバーの一覧 (servers.dat) まで含まれることがある。書き出すファイルを選び、Mod と、必要な設定のファイルだけにする
• ログやクラッシュの記録には、PC のユーザー名を含むファイルの場所や、参加したサーバーのアドレスが残る
• 実行のファイル (.exe、.bat など) や、Mod 以外の .jar を入れない。参加する方にも、そうしたファイルが入った Mod パックは開かないよう案内する

配り方と、主催者のアカウント

• 配布元を 1 つに決め、公式の告知 (サイト、X、Discord のお知らせのチャンネル) で案内する。それ以外の場所や DM では配らないことも伝える
• ファイルを直接渡す場合は、ハッシュを公開して、参加する方が確かめられるようにする
• Modrinth、CurseForge、Discord、GitHub など、Mod パックを配るアカウントに、2 段階認証を設定する。主催者のアカウントが乗っ取られると、そこからマルウェアを配られる
• Mod パックの作成と更新を委託する場合は、委託先の作業の範囲と、配布のアカウントの権限を決めておく

参加する方への案内と、当日の対応

• ランチャーの入れ方、Mod パックの読み込み方、困ったときの連絡先を用意する (安全にマイクラでプレイするためのチェックリスト)
• 当日のトラブル (起動しない、参加できない) に対応する運営スタッフを決めておく
• 問題のある Mod が見つかったときに、参加する方への告知方法と、差し替えの手順を決めておく

参考にした資料

• Project structure (Fabric)
• Mod files (NeoForge)
• New environments (Modrinth、2025 年 8 月)
• Modrinth Modpack format (Modrinth)
• Sharing modpacks (Modrinth)
• packwiz
• Account migration last call (minecraft.net)
• FAQ (Prism Launcher)
• GDLauncher と GDLauncher Carbon (GDLauncher)
• PUP.Optional.TLauncher (Malwarebytes)
• Content Rules (Modrinth)
• Stay Safe (CurseForge、2026 年 5 月)
• Our mod approval process (CurseForge)
• jar-infection-scanner (GitHub)
• パスキーの作成 (Microsoft サポート)

• 記事や技術資料の内容についてのご質問とサポートは、保守・サポートのご契約、またはスポットでのご契約をいただいたうえでお受けしています。無償でのサポートは行っておりません。
• 記事や技術資料の内容は、公開の時点の情報にもとづいて作成しています。内容の正確性、完全性、最新性を保証するものではなく、内容にもとづいて行った作業の結果について、弊社は責任を負いかねます。設定や変更は、ご自身の責任で、検証用の環境で確かめてから行ってください。
• 記事や技術資料の内容について、ご指摘や誤りにお気づきの点がありましたら、その他のお問い合わせからお知らせください。
• 技術資料の内容は、引用元として資料の名前と URL を明記していただければ、ご自身の動画や資料としてご利用いただけます。全文の Web サイトでの引用はご遠慮ください。