インフォスティーラー

Infostealer

security beginner

パスワードやログイン状態を示すCookieなどの情報を盗み出すマルウェア。

概要（サマリー）

インフォスティーラーとは、パスワードやログイン状態を示すCookieなどの情報を盗み出すマルウェアである。
机を壊すのではなく、引き出しの中にある鍵やメモをこっそり持ち出す泥棒のようなものだ。
端末が普段どおり動いていても、盗まれた情報が別の場所でアカウント乗っ取りに使われる場合がある。

名前は、情報を意味する Info と、盗む者を意味する Stealer を組み合わせたものだ。
主な目的は、感染した端末から価値のある情報を集めて外へ送ることである。

対象には、ブラウザに保存したパスワードや、ログイン用の情報などがある。
種類によっては、暗号資産のウォレットや、端末内のファイルも狙う。

すべてのインフォスティーラーが同じ情報を盗めるわけではない。
種類、OS、保存方法、端末の権限などによって、盗める範囲は異なる。

Webサービスは、ログインが済んだことを示す情報をCookieに保存する場合がある。
利用者がページを開くたびに、パスワードを入力し直さずに済む仕組みだ。

攻撃者が有効な認証用Cookieを盗み、サービス側の条件も満たすと、本人として操作できる場合がある。
パスワードを知っているかではなく、ログイン済みの証拠を持っているかが問題になる。
このログイン済みの状態を、別の場所から悪用する攻撃をセッションハイジャックと呼ぶ。

同じように、アクセストークンが狙われる場合もある。
これらは有効期間や利用範囲を持つため、漏れた際には無効化できるかの確認が重要だ。

二要素認証は、不正なログインを防ぐための重要な対策である。
しかし、認証を終えた後のログイン状態まで、その仕組みだけで守りきれるとは限らない。

認証用Cookieを盗む攻撃は、この認証後の状態を悪用する。
二要素認証のコードを解読しているとは限らない。

だからといって、二要素認証が不要になるわけではない。
端末の保護、認証の強化、サービス側のセッション管理を組み合わせる必要がある。

不正なソフトや、正規品を装う配布ページが入口になる場合がある。
「無料版」「便利な修正ツール」といった誘いで、利用者に実行させようとする。

エラー解消や本人確認を装い、コマンドの実行へ誘導するClickFixにも注意する。
自分で操作したからといって、その処理が安全になるわけではない。

ソフトは公式の配布経路から入手し、不要な拡張機能を増やさないことが基本だ。
OSが違えば安全と決めつけず、利用する環境に合った対策を行う。

個人開発の端末には、サービスを操作するためのAPIキーなどが置かれることがある。
これを盗まれると、開発中のアプリ以外へ被害が広がるおそれがある。

たとえば、有料サービスの利用や、公開環境の操作に悪用される可能性がある。
端末に保存する鍵を減らし、各鍵ができる操作も必要な範囲に絞ることが重要だ。

鍵をソースコードへ直接書かない対策も必要だが、それだけで端末の感染は防げない。
コードの公開対策と、端末に保存した情報の保護は、両方を考える必要がある。

感染が疑われる端末でパスワードを変えても、新しい情報を再び盗まれるおそれがある。
組織の端末なら担当者へ連絡し、隔離や調査の手順に従う。

アカウントへの対応は、信頼できる別の端末から行う。
パスワード変更に加え、既存のログイン状態やトークンを無効化できるか確認する。

漏れた可能性のあるAPIキーなどは、失効と再発行を検討する。
端末の駆除や再構築が済んでも、外へ持ち出された情報が自動で使えなくなるわけではない。

AIが提案した開発ツールや拡張機能も、実在性と公式の配布元を確認してから使う。
作業のために渡す鍵は範囲を絞り、不要になった権限を残さないようにする。

AIには「この開発環境で保存する秘密情報の種類と、漏れた場合の無効化手順を整理して」と依頼できる。
相談するときに、本物のAPIキーやCookieの値を貼り付けないことが大切だ。

情報を盗むことが目的のため、目立つ故障が起きるとは限らない。
動作の軽さや、警告画面がないことだけでは判断できない。

認証後の有効な情報を悪用できる場合がある。
二要素認証を続けながら、端末とログイン状態も保護する必要がある。

盗まれた情報が攻撃者の手元に残る場合がある。
端末の処置と、パスワード・セッション・鍵への処置を分けて行う。