インフォスティーラーとは

インフォスティーラーは、Information Stealerの略で、感染したデバイスから機密データを密かに収集し、攻撃者に送信するために構築されたマルウェアの一種です。保存されたパスワード、ブラウザのCookie、セッショントークン、自動入力データ、暗号通貨ウォレットが標的となり、多くの場合、被害者が気付かないうちに情報が盗まれます。

インフォスティーラーは、急速に現代のログイン情報窃取の原動力となっています。2025年上半期だけで推定18億件のログイン情報を盗み出しており、これは直前の6か月間と比較して800%の増加となっています。盗まれたログイン情報は、ダークウェブ上の掲示板に放置されているだけではありません。これらは、アカウント乗っ取り、詐欺、そして急増するランサムウェア攻撃の侵入口となります。

出典：『Flashpoint Global Threat Intelligence Index, 2025 Midyear Edition』、『Verizon 2025 Data Breach Investigations Report』

インフォスティーラーのしくみ

インフォスティーラーは、感染したデバイスのバックグラウンドで静かに実行され、貴重なデータをスキャンして攻撃者に送信します。ほとんどは、感染・収集・流出という三段階のプロセスに従います。

マルウェアがマシンに侵入すると、ブラウザに保存されたパスワード、Cookieやセッショントークン、自動入力の情報、メールクライアント、メッセージングアプリ、暗号資産ウォレットファイルなど、一般的なストレージ場所をスキャンします。それらすべてを一つの「ログ」にバンドルし、たいてい数秒以内にコマンドアンドコントロールサーバー（C2サーバー）に送信します。多くのインフォスティーラーはその後、痕跡を隠すために自身を削除します。

ほとんどは、マルウェアアズアサービス（MaaS）として販売されます。月額わずか200ドルで、低スキルの攻撃者でもダッシュボードやサポート付きの洗練されたインフォスティーラーキットを借りることができます。参入障壁の低さが、脅威が爆発的に高まった大きな理由です。有名なファミリーにはLumma Stealer、RedLine、Raccoonがあります。

インフォスティーラーが盗むもの

インフォスティーラーは、売買や、アカウントへの侵入に再利用できるものであれば、何でも標的にします。最も一般的な標的は以下のとおりです。

• ログイン情報：ブラウザやアプリに保存されているユーザー名とパスワード。
• セッションCookieとトークン： ログイン状態を維持するデジタルパス。これにより攻撃者はライブセッションを乗っ取り、パスワードとMFAをスキップできます。
• 自動入力とフォームデータ：利便性のために保存される名前、住所、支払いの詳細。
• 暗号通貨ウォレット：攻撃者が直接資金を奪うことができるウォレットファイルとキー。
• システムおよびアプリの詳細：スクリーンショット、インストールされているソフトウェア、識別やプロファイリングに使用されるデバイスデータ。

インフォスティーラーの拡散方法

インフォスティーラーは、普段人々が信頼しているチャネルを通じて被害者に届きます。一般的な感染経路は次のとおりです。

• 悪意のある添付ファイルやリンクを含むフィッシングメール。
• 偽造またはクラックされたソフトウェア（海賊版アプリ、ゲームチート、偽のインストーラーなどを含む）。
• ユーザーを偽のダウンロードページへ誘導する、悪意のある広告や不正な検索結果。
• ドライブバイダウンロードを引き起こす侵害されたウェブサイト。
• ユーザーを騙して悪意のあるコマンドを実行させる、偽のブラウザのアップデートやCAPTCHAプロンプト。

インフォスティーラーが危険な理由

1台の感染したノートパソコンが、組織全体をリスクにさらす可能性があります。インフォスティーラーが問題なのは、窃取後に起こることのためです。

窃取されたログイン情報は、より大規模な攻撃の原動力となります。Verizonの2025 Data Breach Investigations Reportによると、ランサムウェア被害者の54％は、攻撃を受ける前に自社のドメインがインフォスティーラーのログに記録されていました。初期アクセスブローカーは、これらのログを購入し、企業のVPN、RDP、クラウドログインを選別して、ランサムウェア攻撃者に即利用可能なアクセスを販売します。盗まれたログから本格的なランサムウェアインシデントに至るまでの時間は、48時間以内の場合もあります。

また、MFAも回避されてしまいます。アクティブなセッションCookieを盗むことで、攻撃者はログイン済みのセッションをリプレイし、パスワードやワンタイムコードを入力することなくアカウントにアクセスできます。従来のMFAだけでは彼らを阻止できません。

企業にとって、ログイン情報の盗難は単なるIT上の小さなトラブルではありません。それは、業務を停止に追い込みかねないデータ侵害、金銭的詐欺、そしてランサムウェアへとつながる、いわば「最初のドミノ」となることが少なくありません。

インフォスティーラーの検出方法

インフォスティーラーは隠れるように作られていますが、痕跡を残します。以下のような兆候に注意してください。

• 見慣れない場所やデバイスからの予期しないログインやアカウントアクティビティ。
• 身に覚えのないセキュリティアラートやパスワードリセットプロンプト。
• ログイン情報が漏洩監視やダークウェブのアラートで検出されること。
• 身に覚えのない新しいブラウザー拡張機能、プロセス、またはスタートアップ項目。
• エンドポイントツールが疑わしい送信ネットワーク接続を検知する。

マルウェアは自身を削除することが多いため、ログイン情報の監視やエンドポイント検出によって、明らかな症状が現れるのを待つよりも早くインフォスティーラーを検出できます。

インフォスティーラー対策のベストプラクティス

感染の可能性と被害範囲の両方を小さくすることができます。強力な防御策には以下が含まれます。

• フィッシング耐性のあるMFAを使用する：パスキーやハードウェアキーは、セッションCookieのリプレイ攻撃に対して、SMSやOTPコードよりもはるかに強力です。
• EDR（エンドポイント検知と対応）の導入：最新のEDRは、ファイル自体が新しい場合でも、インフォスティーラーの挙動を検知します。
• 手口を見抜く目を養う訓練：ほとんどの感染はたった一度のクリックから始まります。予期しない添付ファイルや「無料」のソフトウェア、偽のアップデート通知に警戒するよう、チームに徹底させます。
• ユニークなパスワードを使ったパスワードマネージャーを利用する：ユニークなログイン情報によって使い回しを防ぎ、1つのログイン情報が盗まれても被害の範囲を抑えます。
• ソフトウェアにパッチを適用し、権限を制限する：脆弱性や権限が少なければ、攻撃者が奪えるものも減ります。
• セキュアでイミュータブルバックアップを維持する：盗まれたログイン情報がランサムウェアやデータ破壊につながった場合でも、クリーンなバックアップが業務再開の鍵となります。