近年、企業や個人を問わず被害が増加しているマルウェア「InfoStealer（インフォスティーラー）」。これは、パソコンや業務端末に感染し、ログイン情報やクレジットカード情報などの機密データを密かに盗み取るサイバー攻撃の一種です。
特に企業にとっては、従業員の認証情報が盗まれることで、社内ネットワークへの侵入や機密情報の漏洩といった深刻な被害に直結します。本記事では、InfoStealerの仕組みや主な感染経路、被害事例、そして企業が実施すべき具体的な対策を紹介します。
InfoStealer（情報窃取マルウェア）とは
InfoStealer（インフォスティーラー）は、PCなど感染した端末から機密情報を盗み出すことに特化したマルウェアです。具体的には、ユーザーのログイン認証情報（ID・パスワード）やクレジットカード情報、銀行口座情報、さらにはキーボードの入力履歴（キー入力）やクリップボードの内容、スクリーンショット、システム内部の各種データなどを密かに収集します。
InfoStealerが盗んだ情報は、インターネット上の攻撃者の遠隔サーバー（C2サーバー）に送信されます。攻撃者はその情報を悪用して被害者本人になりすまし、不正アクセスやさらなる攻撃を行います。
また、盗み出された認証情報やクレジットカード情報などは、ダークウェブの闇市場で「ログ」や「アカウント」として売買されることも一般的です。InfoStealerはサイバー犯罪者にとって低コストで確実に機密データを入手できる手段として重宝されており、その脅威は年々増大しています。
主な特徴と盗み出される情報
InfoStealerが標的とする情報は多岐にわたります。典型的な例として、以下のような機密データが被害端末から収集されます。
特にブラウザに保存されたパスワードや自動ログイン情報、Cookieは多くのInfoStealerにとって主要な標的です。最近の高度なInfoStealerの中には、ブラウザ拡張機能に保存された2要素認証データまで抽出できるものも存在します。
さらに、一部のInfoStealerは追加のマルウェアを仕込む機能も持っています。盗み出しが完了した後で、攻撃者の指示により被害端末にリモートアクセス型のトロイの木馬やランサムウェアなど別のマルウェアをダウンロード・実行させることが可能です。
InfoStealerへの感染経路と攻撃の手口
InfoStealerは主にユーザーの不注意や社会的な誘導（ソーシャルエンジニアリング）を悪用して拡散します。典型的な感染経路としては次のような手口があります。
1. フィッシングメールの添付ファイルやリンク
攻撃者は、実在の会社や有名サービスを装ったメールを送信し、受信者に添付ファイルを開かせたり、文中のリンクをクリックさせたりすることで感染を狙います。添付ファイルにはマクロが埋め込まれていたり、リンク先では自動的にマルウェアがダウンロードされる仕組み（ドライブバイダウンロード）が仕掛けられていることもあります。
特に最近では、PDFやZIPファイルの中にスクリプトを仕込み、ファイルを解凍・開封しただけで感染させる手口や、業務連絡を装ったWord文書にマクロを含める方法が増えています。また、Microsoftがマクロを無効化したことにより、代替としてISOやIMGファイルといったディスクイメージ型の添付ファイルが使われるケースも増加しています。
▼ フィッシング詐欺についてはこちらから🔗
2. 偽サイトからのダウンロード
攻撃者は検索連動広告やSEO（検索エンジン最適化）を悪用し、正規サイトに似せた偽のWebサイトを検索上位に表示させます。ユーザーが正規ソフトと勘違いしてソフトウェアをダウンロードすると、実際にはInfoStealerが仕込まれた実行ファイルが提供されます。
たとえば、「Adobe Acrobat」「GIMP」などの有名ソフトの公式サイトを模倣した偽サイトでは、700MB超のインストーラーにマルウェアを含めて配布する事例が確認されています。一見するとデザインも本物そっくりで、URLをよく見ない限りは気づきにくいことが問題です。
3. 海賊版ソフトや不正アプリへの混入
ライセンス料を支払わずに使えるようにする「クラック版」や、便利な裏技ツールとして配布されている不正アプリにInfoStealerが組み込まれていることがあります。こうしたソフトはファイル共有サイト、違法掲示板、匿名アップローダーなどで配布されており、ダウンロード・実行と同時に感染するケースが多発しています。
特に若年層やITリテラシーの低い層では「ちょっと便利だから」「無料だから」といった動機で安易に利用されることがあり、企業の端末が私的利用により感染するリスクにもつながります。
4. ブラウザ拡張機能の偽装
Webブラウザの拡張機能を装ってマルウェアを配布するケースも増えています。たとえば、ChatGPT連携ツールやYouTubeの広告ブロッカーなど、一見便利で需要が高そうなテーマを装い、ストアに公開されることもあります。
これらの拡張機能は、インストール直後にユーザーのブラウザ内に保存されたCookieやセッション情報、パスワードなどを収集し、攻撃者のサーバーに送信する機能を持つ場合があります。正規のストアでも悪意ある拡張が一時的に掲載される事例もあり、ダウンロード前には提供元やレビューを必ず確認する必要があります。
5. SNS経由のメッセージや投稿
SNSやチャットアプリ（LINE、Discord、Telegram、Facebookなど）を使って、攻撃者が直接マルウェア付きのファイルやリンクを送りつけるケースも確認されています。被害者の知人や友人になりすまし、「この動画見て！」や「PDF添付しました」といった自然なメッセージで信頼を得て、ユーザーにファイルを開かせようとします。
中には、感染した端末が勝手に他人へと感染を広げるスパム送信を行う仕組みもあり、被害が連鎖的に拡大することがあります。業務用端末では、プライベートなSNSアカウントとの連携や個人用チャットの使用を制限することがリスク低減につながります。
代表的なInfoStealerの亜種について
ここでは、特に被害報告の多い代表的なInfoStealerマルウェアについて紹介します。
RedLine Stealer（レッドラインスティーラー）
RedLine Stealerは、2020年頃から広く流通しているInfoStealerのひとつで、個人・企業を問わず世界中で被害が報告されています。特に、2020年～2023年に記録されたInfoStealer感染のうち、約51%はRedLineによるものであったと報告されています。
特徴は、地下マーケットで比較的安価に販売されており、攻撃者が手軽に導入できる点です。ブラウザに保存されたID・パスワード、クレジットカード情報、暗号資産ウォレット情報、システム情報など幅広いデータを対象に窃取します。また、収集した情報は攻撃者のサーバーへ送信され、他のサイバー攻撃に利用されるケースも多いです。
Vidar Stealer（ヴィダースティーラー）
Vidar Stealerは、SNS上にある一見無関係なページからC2サーバーの情報を取得するという独自の仕組みを持ち、追跡や対策を困難にしています。
感染すると、被害者のブラウザ、仮想通貨ウォレット、メールクライアント、FTPクライアントなどから情報を収集し、ZIPファイルとしてまとめて外部に送信します。また、仮想通貨関連の情報収集に特化した構成も存在し、暗号資産の盗難被害が多発しています。
Raccoon Stealer（ラクーンスティーラー）
Raccoon Stealerは、手頃な価格でレンタルできる「マルウェア・アズ・ア・サービス（MaaS）」として提供され、初心者のサイバー攻撃者にも利用されています。
60種類以上のアプリケーションから情報を窃取できる機能を持ち、特にブラウザや仮想通貨ウォレット、メールソフト、チャットアプリなどが標的です。攻撃者向けの管理パネルも提供されており、盗んだ情報を効率的に活用する仕組みも整っています。
Lumma Stealer（ルンマスティーラー）
Lumma Stealerは、比較的新しいInfoStealerでありながら、高度な難読化と自己防御機能を備えています。特に、2要素認証の情報（ワンタイムパスワードやバックアップコード）を含むブラウザ拡張のデータを盗むことができる点が脅威です。暗号通貨関連のデータやCookie、セッション情報なども狙われ、被害者は知らないうちに認証済みのアカウントを乗っ取られるリスクに晒されます。
これらのInfoStealerは日々進化を続けており、同じ名称であっても亜種ごとに機能や感染手法が異なることがあります。企業やセキュリティ担当者は、これらの特徴を理解しつつ、脅威インテリジェンスを継続的に収集・活用することが重要です。
InfoStealerへの対策とは
InfoStealerに対してどのような対策を行うと良いのでしょうか。ここでは、5つの方法を紹介します。
セキュリティソフトの導入および最新化
感染の兆候をリアルタイムに検知し、異常な通信やファイル操作を即座にブロックできるEDR（Endpoint Detection and Response）の導入が有効です。
従来のアンチウイルスに加え、ファイル無害化ソリューション（CDR）やURLフィルタリング、Webゲートウェイを組み合わせて、ネットワーク全体の防御層を強化しましょう。また、すべてのセキュリティソフトやOS、アプリケーションは常に最新状態に保ち、既知の脆弱性を突かれるリスクを防ぐことが重要です。
多要素認証の導入
仮に認証情報が盗まれても、攻撃者がログインできないようにするには多要素認証（MFA）の導入が効果的です。特にクラウドサービス、VPN、管理者アカウントなどには必須で、可能であればフィッシング耐性の高い物理キーや認証アプリの利用も検討しましょう。
セキュリティポリシーの徹底
社内で使用可能なソフトウェアやブラウザ拡張機能を制限し、私的なSNSやファイル共有ツールの業務利用を制限するなど、明確なルールを設けることが感染リスクの軽減につながります。
特に海賊版ソフトや出所不明のアプリの使用は禁止とし、端末の利用制限をかけることも検討が必要です。
セキュリティ教育の実施
従業員一人ひとりのセキュリティ意識が、InfoStealerの侵入を防ぐ最も基本的かつ重要な対策です。定期的にフィッシングメールの判別訓練やセキュリティ研修を行い、実践的な判断力を養いましょう。
最近では生成AIを悪用した精巧なフィッシングも増えており、「疑ってかかる」意識の醸成が必要です。
マニュアルや関連文書の整備
感染が疑われる際に迅速に対応できるよう、初動対応マニュアルや報告フローを整備しておくことが大切です。
誰が、いつ、どのように連絡・対処するかを明文化し、全社員に共有することで、情報漏洩や被害拡大を最小限に抑えられます。定期的な見直しと模擬訓練も併せて実施すると効果的です。
▼ 文書の整備にはこちらを参考にするのもおすすめ🔗
まとめ
技術と人の両面から備え、継続的なアップデートと教育を通じて、InfoStealerの脅威から企業を守る必要があります。
サイバー攻撃は日々進化しており、InfoStealerも例外ではありません。今後も新たな手口や亜種が登場する可能性があるため、最新情報にアンテナを張りつつ、自社のセキュリティ対策を定期的に見直すことが重要です。組織全体で「自分ごと」としてセキュリティに向き合い、万が一の際にも冷静に対応できる体制を構築しておきましょう。
コメント