トリと振り返るインフォスティーラーの脅威動向──盗まれる前に。そして手遅れになる前に。

まず、「インフォスティーラー」とは何か、その基本からお話しします。これは特定のマルウェアの名前ではなく、名前の通り「情報（Information）」を「盗む者（Stealer）」、つまり情報窃取を目的とするマルウェア全般を指す分類（カテゴリー）名です。

その歴史は古く、私が確認できた最も古いものは、1990年代にまで遡ります。1997年頃には既に米国でAOLのアカウントパスワードを盗む目的のマルウェアへの注意喚起が行われていました。インターネットの黎明期から、パスワードを盗んで悪用するという行為は存在していたのです。
皆様の記憶にもあるかもしれませんが、「LOVELETTER」とも呼ばれる「I LOVE YOU」ウイルスも、実は裏で情報を盗む機能を持っていました。2000年代に入ると、より直接的に金銭を狙う動きが活発化し、銀行口座やクレジットカードといった金融情報を盗むものが登場します。同時に、パスワード以外の様々な情報を盗む「高機能化」も進んでいきました。
そして今、インフォスティーラーは新たな時代を迎えています。私が調べただけでも、2025年に入ってから新たに登場したインフォスティーラーは16種類以上。今もなお、新たな攻撃者が次々と参入している、非常に活発な脅威なのです。

では、インフォスティーラーは具体的にどのような情報を盗んでいくのでしょうか。「パスワード」を想像する方が多いと思いますが、現実はそれだけにとどまりません。

一例として、近年活動が活発な「Lumma（ルーマ）」と呼ばれるスティーラーが窃取する情報を以下に示しますが、パスワード以外の情報がいかに危険かがお分かりいただけるかと思います。

• ブラウザ関連
  保存済みパスワード
  セッションcookie
  オートフィル項目 （Mozilla、Chromium対応）

• 暗号資産関連
  デスクトップやブラウザ拡張のウォレットファイル
  ローカル鍵
  拡張機能データ

• サードパーティアプリ関連
  VPN設定情報
  メール、FTP、Telegramなどの認証情報、セッション情報

• ドキュメント関連
  ユーザープロファイル配下の文書ファイル （主にPDF、DOCX、RTFなど）

• システム関連
  CPU、OSバージョン、システムロケール、インストール済アプリ
  実行中プロセスの一覧

• その他
  クリップボード
  スクリーンショット

特に注意すべきは、黄色でハイライトした項目です。
セッションcookieが盗まれると、IDやパスワードを入力せずともログイン済みの状態を乗っ取ることができてしまいます。多要素認証（MFA）を回避して不正アクセスされるという極めて危険な事態を招きます。

またVPNの接続情報が盗まれれば、それを足がかりに社内ネットワークへ侵入される恐れがあります。
さらに認証情報だけでなく文書ファイルそのものがターゲットになることもあり、機密情報が直接漏洩するリスクもはらんでいます。
そして何より厄介なのは、攻撃キャンペーンごとに盗む情報の種類は変化するということです。「このインフォスティーラーは〇〇しか盗まないから大丈夫」といった安易な判断は絶対にできません。

20年以上も前から存在するインフォスティーラーが、なぜ今、これほどまでに深刻な脅威として語られるのでしょうか。その理由は、「情報を盗まれて終わり」ではないからです。
現代のサイバー攻撃において、インフォスティーラーは一連の攻撃サイクルを構成する重要なピース、いわば「攻撃基盤技術」の一つとして確立されてしまっています。

かつては、盗まれた認証情報が悪用されるまでに少し時間的な猶予がありました。しかし、クラウドサービスの普及により、認証情報が盗まれた瞬間に外部からシステムへアクセスされ、機密情報を盗まれたり、設定を変更されたりと、攻撃が極めて高速に進行するようになっています。
そして最も恐ろしいのが、インフォスティーラー感染が、事業継続に致命的な影響を与えるランサムウェア攻撃の起点になっているという事実です。

この背景には、攻撃の「分業体制（エコシステム）」が完全に出来上がってしまっている現状があります。

インフォスティーラーの開発者は、MaaS（Malware as a Service）というサブスクリプションモデルでマルウェアを提供します。彼らは直接攻撃を行わず、「IAB（イニシャルアクセスブローカー）」と呼ばれる別の攻撃者によって、様々な手口でインフォスティーラーを拡散させ、認証情報を窃取します。
そして、盗んだ認証情報の中から価値のあるもの（特定の企業へのアクセス権など）を選別し、ランサムウェア攻撃を実行したい攻撃グループ（アフィリエイト）に販売するのです。

このエコシステムには多数のプレイヤーが関与しているため、法執行機関が一つを摘発しても、すぐに別のプレイヤーがその穴を埋め、活動が止まることはありません。これが、インフォスティーラーが決してなくならない根深い原因なのです。

では、実際にインフォスティーラーはどのような被害を引き起こしているのでしょうか。
正直なところ、日本国内で「インフォスティーラーが原因」と断定して公表される事例は非常に少ないのが実情です。しかし、その中でも、セキュリティベンダーの分析などからインフォスティーラーが使用された可能性が高いと指摘されているのが、2023年頃からホテルなどのホスピタリティ業界で相次いでいる被害です。

1. 攻撃者は、まず正規の宿泊予約サイト（Booking.comなど）を通じてホテルに予約を入れます。

2. その後、「宿泊予約をした者だが」とホテルに連絡を取り、問い合わせを装ったメールなどを送付します。

3. ホテルの従業員が、そのメールに記載された指示に従って操作をしてしまうと、業務PCがインフォスティーラーに感染します。

4. 感染したPCから、宿泊管理システムにログインするための認証情報（セッションクッキーなど）が窃取されます。

5. 攻撃者は、盗んだ認証情報で宿泊管理システムに不正アクセスし、ホテルになりすまして、実際にそのホテルを予約している正規の宿泊客に対し、「クレジットカード情報を再入力してください」といった内容のフィッシングメッセージを送信します。

この手口の恐ろしい点は、盗まれた情報が即座に二次被害の拡大に悪用されていることです。そして、この種の攻撃は残念ながら今もなお続いており、一度攻撃者に「有効な手口だ」と判断されると、業界全体が長期間にわたって狙われ続ける危険性を示唆しています。

これほど危険なインフォスティーラーですが、一方でその深刻さが十分に伝わっていない、という現実も感じています。「本当にそんなに問題なの？」という脅威認識のギャップはなぜ生まれるのでしょうか。私は、その背景に2つの「気づきにくさ」があると考えています。

このような「気づきにくい」脅威に対し、私たちはどう備えればよいのでしょうか。