インフォスティーラーとは？Cookie・保存済み資格情報を盗む危険性と対策方法を徹底解説

インフォスティーラーとは何か

cookie、保存済み資格情報、端末情報を抜き取る情報窃取型 malware です

インフォスティーラーは、端末へ侵入し、browser cookie、保存済み資格情報、フォーム情報、端末情報などを抜き取る情報窃取型 malwareです。Microsoft のVoid Blizzard 分析↗でも、stolen credentials が後続侵害に使われていると説明されています。

ここで重要なのは、インフォスティーラーが「ランサムウェアの前段」であることだけではありません。多くの場合、感染端末そのものより、抜かれた認証情報や cookie が別の端末・別の攻撃者に再利用されることが企業リスクを大きくします。

クレデンシャルスタッフィングと違い、『盗む段階』が主役です

クレデンシャルスタッフィングは、すでに流出した認証情報を他サービスへ試す攻撃です。一方でインフォスティーラーは、認証情報や cookie を端末から抜き取る段階を主役にします。

そのため、「ログイン試行の防御」だけでなく、browser 保存、拡張機能、持ち込み端末、委託先端末、ローカル権限のような端末側の露出面を一緒に見ないと対策が半分で止まります。

token theft や access sale の前段として理解すると整理しやすくなります

インフォスティーラーが怖いのは、端末侵害だけで閉じないからです。抜かれた cookie や token はセッショントークン窃取に使われ、認証情報は初期アクセスブローカーや別の不正アクセスへ回ることがあります。

したがって、インフォスティーラー対策は「malware を消す」だけでは足りません。「何が盗まれた可能性があり、どのログイン面で再利用されるか」までを同じ incident として扱う必要があります。

なぜ成立するのか、どこが盲点になるのか

stealer の本当の価値は、『抜いた後に別の攻撃へ使えること』です

インフォスティーラーは、端末を壊すためではなく、別の不正アクセスへ使える情報を回収するための malwareと考える方が実務に合います。Microsoft は Void Blizzard の分析で、commodity infostealer ecosystem 由来とみられる stolen credentials が侵入に使われていると説明しました。

つまり、感染の瞬間に画面上の異常が少なくても安心できません。端末側で目立つ破壊がなくても、cookie や資格情報はすでに外へ出ており、あとからメール、SaaS、管理画面で不正利用される場合があります。

CSRB の Lapsus$ 報告書も、情報窃取が後続侵害の前段になると整理しています

CISA 公開のCSRB Lapsus$ Review↗は、若年層を含む攻撃者が info-stealing tools や credential theft を組み合わせ、後続侵害へ進んだ構図を整理しています。ここから分かるのは、stealer が単独で完結する threat ではなく、別の攻撃チェーンを支える部品になっていることです。

そのため、感染端末の掃除だけで終えると、外に出た情報の再利用を見逃します。incident の閉じ方を誤ると、「マルウェアは消えたのに侵害が続く」状態が起きます。

感染端末より『感染端末で使われたアカウント』を追う必要があります

stealer 対応で企業がつまずきやすいのは、端末フォレンジックへ意識が寄りすぎることです。もちろん端末調査は必要ですが、実務ではその端末で誰が何のアカウントを使っていたかを同じ重さで追わなければいけません。

特に mail、共有ファイル、管理画面、財務システム、委託先ポータルのような高価値アカウントは、感染端末と切り離して password reset、session revoke、MFA 再登録、関連端末確認まで進める必要があります。ここが遅いと、ビジネスメール詐欺や横移動の入口になります。

被害の広がり方と企業側のリスク

一つの stealer 感染が、複数の認証事故へ変わります

インフォスティーラーは、「1 台の端末の問題」に見えて、実際には複数の認証事故へ広がります。感染端末で mail、SaaS、開発基盤、財務システム、委託先ポータルを使っていれば、抜かれた情報はそれぞれ別の不正利用へつながります。

そのため、「端末を隔離したから一安心」ではありません。端末から外へ出た情報は、別の PC、別の回線、別の攻撃者によって使われることがあります。事故の対象は端末ではなく、端末で扱われた認証面全体と考えるべきです。

高権限者や委託先アカウントほど、stealer の価値が高くなります

stealer で抜かれる情報の価値は一律ではありません。高権限者、委託先、夜間当番、共有メールのように一つのログインで複数の判断や設定変更へ届くアカウントほど、後続被害が重くなります。

ここで注意すべきは、「一般利用者向け MFA は強いのに、委託先や共有運用だけ古い」という状態です。stealer はこうした運用の隙間と相性が良く、最初の感染が小さくても被害は深くなります。

検知が遅いと、stealer は access broker や ransomware の前段になります

盗まれた情報は、すぐに直接使われる場合もあれば、あとで初期アクセスブローカーや別の攻撃者へ回ることもあります。つまり、stealer は一つの malware family というより、後続侵害へ資材を供給する工程だと考えた方が実態に近いです。

そのため、端末検知だけで終わらず、identity、mail、SaaS、公開面を横断して初動を短くする必要があります。ここが遅いと、「stealer は収束したが別の侵害が始まった」という状態になります。

企業が優先してやるべき対策

インフォスティーラー対策は、端末の malware 駆除だけに閉じると不十分です。cookie と資格情報の保管面、端末の統制、感染後の revoke、公開 login 面の削減までを一つの運用として設計する必要があります。

browser 管理と保存済み資格情報の整理を、高リスク端末から先に進めてください

stealer は、利用者が便利さのために残した browser 保存や自動サインインと相性が良いです。そのため、まずは高権限者、財務、委託先、共有端末から、どこに cookie と保存済み資格情報が残りやすいかを洗い出す必要があります。

端末管理、拡張機能の許可制、ローカル権限、持ち込み端末の扱いを一緒に見直すと、stealer が届く面を物理的に減らせます。認証設計と端末設計を分けないことが重要です。

感染後は、端末駆除より先に credential 事故として封じ込めるべきです

stealer の初動では、malware の削除とフォレンジックだけに集中しがちです。しかし実務では、感染端末で使われたアカウントの password reset、session revoke、MFA 再登録、関連端末確認を先に進める方が被害を止めやすくなります。

これは「感染した端末を直す」ではなく、感染端末から出た情報の価値をすぐに無効化するという発想です。incident response の順番を誤ると、調査中に別の不正利用が進みます。

高リスクアカウントの異常利用を先に見ると、後続被害を早く見つけやすくなります

監視では、端末アラートと同じ重さで、高リスクアカウントの mail、SaaS、管理画面、共有ファイルの異常操作を見てください。stealer の本体は端末にありますが、企業被害の本体は抜かれた後の利用にあります。

そのため、「感染端末が一台見つかった」だけで終わらせず、その端末で使われた全アカウントを横串で追う方が安全です。被害の広がり方を mail や設定変更から逆算すると、優先順位を決めやすくなります。

最後は、外から試される login 面そのものを減らしてください

抜かれた情報は、最終的に外から触れる login 面へ投げられます。古い portal、残存した staging、委託先向け入口、管理画面、サポート面が多いほど、stealer の後続利用先も増えます。

したがって、インフォスティーラー対策は EDR と認証だけで完結しません。外部公開資産の棚卸しまで進めて、再利用される面そのものを減らすところまでが再発防止です。

インフォスティーラー対策で外部ログイン面を棚卸しするなら ASM診断 PRO

ASM診断 PRO は stealer 検知製品の代替ではありません。ただし、抜かれた cookie や資格情報が最終的に試される公開 login 面、古い portal、委託先導線、管理画面を外側から洗い出す入口として使えます。

外部導線を整理できると、「感染後にどこで悪用されやすいか」を優先順位付きで見やすくなります。EDR と認証だけで閉じず、試される面そのものを減らす判断へつなげてください。

よくある質問（FAQ）

インフォスティーラーとランサムウェアは同じですか？

同じではありません。ランサムウェアは暗号化や停止が主役ですが、インフォスティーラーは cookie や保存済み資格情報などの持ち出しが主役です。ただし後続で別の被害へつながる点で重要です。

EDR を入れていれば十分ですか？

十分ではありません。EDR は重要ですが、感染後の password reset、session revoke、MFA 再登録、委託先通知まで一緒に回さないと、抜かれた情報の再利用は止まりません。

クレデンシャルスタッフィングとの違いは何ですか？

クレデンシャルスタッフィングは流出済み認証情報の再利用攻撃です。インフォスティーラーは、その流出を新たに作る側、つまり cookie や保存済み資格情報を端末から盗む側が主役です。

感染端末が一台だけなら影響は限定的ですか？

限定的とは言えません。その端末で mail、SaaS、管理画面、共有ファイル、委託先 portal を使っていれば、抜かれた情報が複数の業務面へ広がる可能性があります。

ASM診断 PRO はこのテーマでどう役立ちますか？

ASM診断 PRO は malware 検知製品ではありませんが、外から見える login 面、古い portal、委託先導線、管理画面を棚卸しし、stealer 後に試される公開面を減らす判断を支援できます。

まとめ

インフォスティーラーは、端末に入った malware というより、cookie や保存済み資格情報を外へ出し、後続侵害へ渡す工程として見る方が実態に近いです。だからこそ、malware 駆除だけで incident を閉じると、認証情報再利用を止め切れません。

実務では、browser 保存と端末管理を高リスク端末から締め直すこと、感染後は credential 事故として password reset と session revoke を一気に回すこと、そして抜かれた情報が試される外部 login 面を減らすことが重要です。端末、認証、公開面を同じ改善サイクルとして見直してください。