インフォスティーラー（情報窃取型マルウェア）とは？ブラウザ保存のパスワードとCookieが盗まれる手口・多要素認証が突破される理由と対策【中小企業向け】
社内のパソコンが1台マルウェアに感染しただけで、そのパソコンのブラウザに保存されていた業務システムのID・パスワードが、まとめて外部に送信される。しかも本人はまったく気づかない。これが「インフォスティーラー（情報窃取型マルウェア）」の被害です。
先に結論をお伝えします。インフォスティーラー対策で最も重要なのは「ウイルス対策ソフトを入れること」ではなく、「ブラウザにパスワードを保存するのをやめること」と「盗まれても悪用されない認証にすること」の2つです。ファイルを壊さず、画面にも何も出さずに、静かに認証情報だけを持ち去るのがこのマルウェアの特徴だからです。
そして、多くの方が誤解しているのがもう1点。「多要素認証（MFA）を入れたから大丈夫」は成り立ちません。インフォスティーラーはパスワードだけでなく、ログイン済みの状態を保持しているCookie（セッション情報）も一緒に盗むため、攻撃者はパスワードもワンタイムパスワードも入力せずに、ログイン済みの状態をそのまま乗っ取ることができます。
警察庁が2026年3月に公表した資料では、この脅威に対して日本を含む26か国の捜査機関が国際共同捜査に動き、日本国内だけで129台の指令サーバが停止されたことが明らかにされています。しかもその多くは、企業が自社で使っているサーバが、管理者に気づかれないまま情報窃取に悪用されていたものでした。
本記事では、中小企業の経営者・情報システム担当者の方に向けて、盗まれる情報の中身／感染経路／MFAが突破される仕組み／対策の優先順位と費用／感染が疑われるときの確認手順までを、公的機関の一次情報にもとづいて整理します。
▶ 関連記事：IPA「情報セキュリティ10大脅威 2026」を中小企業向けに解説｜初登場のAIリスクと優先すべき対策
インフォスティーラー（情報窃取型マルウェア）とは？
インフォスティーラー（Infostealer）とは、感染した端末の中から、ID・パスワード、Cookie、クレジットカード情報などの「情報」だけを抜き取って外部に送信するマルウェアの総称です。「Stealer（盗む者）」という名前のとおり、壊すことも、身代金を要求することもしません。
ランサムウェアが「派手に壊して気づかせる」のに対し、インフォスティーラーは「壊さず、気づかせない」のが最大の特徴です。ファイルは消えず、パソコンも普通に動きます。だからこそ発覚が遅れます。
| 項目 | インフォスティーラー | ランサムウェア |
|---|---|---|
| 目的 | 認証情報などの情報を盗む | データを暗号化して身代金を得る |
| 端末に起きること | 見た目は何も起きない | ファイルが開けなくなる・脅迫文が出る |
| 気づくきっかけ | 不正ログインの通知や他社からの指摘 | 感染当日にすぐ分かる |
| 被害が出るタイミング | 数日〜数か月後（情報が売買された後） | ほぼ即時 |
| 本当の怖さ | 盗まれた認証情報が次の攻撃の入口になる | 業務が止まる |
セキュリティ会社のデジタルアーツが公表したレポートによると、2025年に検出された悪性ファイル添付メールの約8割がインフォスティーラーでした。また同レポートでは、感染から1分程度で窃取した情報が攻撃者側へ送信されることが確認されています。「気づいてから対処する」では間に合わない速度です。
フィッシングとの違いは？
どちらも「ID・パスワードを盗む攻撃」なので混同されがちですが、盗まれ方がまったく違います。この違いが分かると、なぜ対策も変える必要があるのかが見えてきます。
| 項目 | フィッシング | インフォスティーラー |
|---|---|---|
| 盗み方 | 偽サイトに本人が入力してしまう | 端末に保存された情報を自動で抜き取る |
| 本人の関与 | 本人が入力する必要がある | 本人は何も入力しない（気づく機会がない） |
| 盗まれる範囲 | 入力したそのサービスの1件分 | 端末に保存されたすべてのサービス分 |
| Cookieを盗まれるか | 基本的に入力したパスワード等のみ | Cookieや自動入力情報まで一括で盗まれる |
| 主な防ぎ方 | メール対策・従業員教育・パスキー | ブラウザ保存の停止・EDR・Webフィルタリング |
つまり、「怪しいメールを開かない」という教育だけではインフォスティーラーは防げません。正規のソフトを装った偽のファイルを、業務のつもりでダウンロードして実行してしまえば成立してしまうためです。
▶ 関連記事：巧妙すぎる偽メールの見分け方｜総務担当が知るべきフィッシング対策
何を盗まれる？──「パスワードだけ」ではありません
インフォスティーラーが持ち去るのは、パスワードだけではありません。「その端末で普段ログインしている状態そのもの」が丸ごと持ち去られると考えてください。
| 盗まれるもの | どこに保存されているか | 悪用のされ方 |
|---|---|---|
| ID・パスワード | ブラウザの「パスワードを保存しますか？」で保存した情報 | 業務システム・VPN・クラウドへの不正ログイン |
| Cookie（セッション情報） | ブラウザのプロファイル領域 | ログイン済みの状態をそのまま乗っ取る（MFAを回避） |
| クレジットカード情報 | ブラウザの自動入力設定 | カードの不正利用 |
| キーボード入力の履歴 | 入力そのものを記録（キーロガー） | 保存していないパスワードまで取得 |
| 画面のスクリーンショット | 端末の画面 | 取引先名・見積内容など業務情報の把握 |
| デスクトップ上のファイル | 端末のローカルフォルダ | パスワード一覧のメモ・顧客名簿などの流出 |
ここが落とし穴：「パスワードをすぐ変えたから大丈夫」と考えるのは危険です。Cookie（セッション情報）を盗まれている場合、パスワードを変更してもログイン済みの状態は生き残ります。パスワード変更に加えて、管理画面から「全セッションを強制的にサインアウト（失効）」させる操作が必要です。
▶ 関連記事：パスワードの使い回しがなぜ危険か？リスクをわかりやすく解説
なぜ今これが問題なのか？──警察庁が国際共同捜査に動いた
インフォスティーラーは、いま国際的な取り締まりの対象になるほど深刻な脅威になっています。警察庁が2026年3月に公表した「令和7年におけるサイバー空間をめぐる脅威の情勢等について」には、次のように記されています。
2025年（令和7年）6月、ICPO（インターポール）がアジア・南太平洋地域におけるインフォスティーラー対策の国際共同捜査「Secure（セキュア）」を実施し、日本警察を含む26か国の捜査機関が民間事業者とも連携して、指令サーバ（C2サーバ）を停止させる措置を取りました。
日本警察は、警察庁サイバー特別捜査部と18の都道府県警察が連携して、侵害されたサーバを管理する事業者に順次働きかけを行い、その結果129台のC2サーバが停止（テイクダウン）されました。
中小企業にとっての本当の意味：警察庁は、これらのサーバについて「企業等が通常使用するサーバが何らかの理由で侵害され、管理する企業等が気付かないままに情報窃取行為に悪用されたもの」と説明しています。つまり、被害者であるはずの企業のサーバが、他社の情報を盗む道具として使われていたということです。気づかないまま加害側に立たされるリスクがあります。
▶ 関連記事：サプライチェーン攻撃とは？中小企業が「踏み台」にされる手口と国内の被害事例・取引停止や損害賠償のリスクと対策
「うちは狙われない」は本当？──盗まれた認証情報はランサムの入口になる
インフォスティーラーの被害が軽く見られがちなのは、「パスワードが漏れただけ」と受け取られるからです。しかし実際には、盗まれた認証情報は闇市場で売買され、次の攻撃者がそれを買って侵入してくるという流れができています。
同じ警察庁の資料では、ランサムウェア攻撃の侵入手口について「攻撃者は、未修正のぜい弱性、漏えいした認証情報や簡易なパスワード、設定不備等を悪用して組織のネットワークへ侵入する」と明記されています。認証情報の漏えいは、ランサムウェア被害の「前工程」なのです。
実例も公表されています。2025年10月に被害を公表した通販大手のケースでは、企業の調査により攻撃者が認証情報を窃取し、それを不正に使用して複数のサーバにアクセスしたうえでランサムウェア攻撃を実行したことが判明しています。この攻撃により製品の受注・出荷に影響が出たほか、顧客や従業員等に関する個人情報約74万件について漏えいのおそれが判明しました。
| 警察庁が公表した2025年（令和7年）の数字 | 内容 |
|---|---|
| ランサムウェアの被害報告件数 | 226件（高水準で推移） |
| 被害企業に占める中小企業の割合 | 約6割 |
| 主な侵入経路 | VPN機器が6割以上 |
| 復旧に総額1,000万円以上を要した組織 | 全体の5割超 |
| 1か月未満で復旧できた組織 | 5割強にとどまる |
復旧に1,000万円以上かかった組織が半数を超え、1か月以内に復旧できた組織も半数程度。その入口が「社員のパソコン1台の感染」だったとすれば、対策の費用対効果は明らかです。
盗まれた情報はどこへ行く？──「スティーラーログ」の売買
インフォスティーラーが盗んだ情報は、「スティーラーログ」と呼ばれる形にまとめられ、闇市場（ダークウェブ）やメッセージアプリの専用チャンネルで売買されます。1台分のログには、その人が使っていた全サービスのID・パスワード・Cookieがまとめて入っています。
やっかいなのは、この一連の流れがサービス化（MaaS＝Malware as a Service）されていることです。マルウェアそのものが月額で貸し出されており、高度な技術を持たない者でも攻撃を実行できます。攻撃側は「どの会社を狙うか」を最初に決めているわけではなく、まず広くばらまいて感染させ、集まったログを後から選別して「使える会社」を探すという順番で動きます。
だからこそ、「うちは有名企業ではないから狙われない」という理屈は成立しません。最初の感染時点では、攻撃者はあなたの会社の名前すら知らないからです。名前を知られるのは、盗んだログを見た後になります。
なぜウイルス対策ソフトをすり抜けるのか？
インフォスティーラーは、正規のソフトウェアのインストーラーに見せかけたり、プログラムの中身を読み取りにくく加工（難読化）したり、正規のシステム機能を利用して起動したりと、「既知の悪いファイル」として判定されにくい作りになっています。亜種も次々に作られます。
そのため、パターンファイルで既知のウイルスを判定する従来型の対策だけでは取りこぼしが起きます。「何のファイルか」ではなく「何をしようとしたか」で判断するEDRが必要になるのは、この理由からです。
▶ 関連記事：ランサムウェア「二重脅迫・三重脅迫」の最新動向と中小企業の備え方
どこから感染する？──主な感染経路と対策
インフォスティーラーは、標的型攻撃のような高度な手口だけで広がっているわけではありません。従業員が「自分の意思でクリック・ダウンロードしてしまう」経路が中心です。だからこそ、技術的な対策と教育の両方が要ります。
| 感染経路 | よくある入り口 | 効く対策 | 優先度 |
|---|---|---|---|
| フリーソフト・海賊版の入手 | 「無料」「クラック版」をうたう配布サイト | Webフィルタリングでダウンロードを制限／ソフトのインストール権限を制限 | 高 |
| 検索結果の広告・偽サイト | 正規ソフト名で検索した先の偽ダウンロードページ | Webフィルタリング／EDRによる実行時検知 | 高 |
| フィッシングメールの添付・リンク | 請求書・配送通知・社内通知を装ったメール | メールセキュリティ／標的型メール訓練 | 高 |
| 偽のCAPTCHA・「認証」画面 | 「人間であることを確認」と称してコマンド実行を指示する画面 | 従業員教育／EDR | 中 |
| 業務外のサイト・生成AIの偽サービス | 無料の変換ツール・偽AIサービス | Webフィルタリング／利用ルールの明文化 | 中 |
| 私物端末での業務利用 | 会社のIDを私物PCのブラウザに保存 | BYODルール／業務は会社端末に限定 | 中 |
▶ 関連記事：無料ソフトのダウンロードが危険な理由｜マルウェア感染経路を解説
▶ 関連記事：サポート詐欺（偽警告）とは？業務パソコンに「ウイルスに感染しました」と出たときの対処法と、会社が取るべき予防策
なぜ多要素認証（MFA）を入れていても突破されるのか？
ここが本記事で最もお伝えしたい論点です。「多要素認証を入れたので、パスワードが漏れても大丈夫」という理解は、インフォスティーラーには通用しません。突破される経路が2つあります。
| 突破の経路 | 仕組み | 対策の方向 |
|---|---|---|
| Cookie（セッション）の窃取 | ログイン済みを示すCookieをブラウザから丸ごと盗み、攻撃者の端末に貼り付けて「ログイン済みの人」になりすます。パスワードもワンタイムパスワードも要求されない | 端末に紐づく認証（パスキー・デバイス証明書）／セッション有効期限の短縮／不審なサインインの検知 |
| リアルタイム型フィッシング | 偽サイトが本物のサイトに入力内容をそのまま中継し、利用者が入力したワンタイムパスワードを即座に使ってログインする | フィッシング耐性のある認証（パスキー／FIDO2）／Webフィルタリング／メール対策 |
リアルタイム型フィッシングは目新しい話ではありません。警察庁も「令和元年頃からリアルタイム型フィッシングにより二段階認証を突破する手口が横行するなど、手口の巧妙化が見られる」と明記しています。実際、2025年のフィッシング報告件数は245万4,297件（フィッシング対策協議会）と右肩上がりで、インターネットバンキングの不正送金は4,747件・被害総額約103億9,700万円、その手口の約9割がフィッシングでした。
だからこそ警察庁は、対策として「パスワードに代わって生体認証等により簡単かつ安全にログインできる認証方法（パスキー）の普及促進」を、所管省庁を通じて事業者に要請しています。「MFAを入れるかどうか」ではなく「どの方式のMFAにするか」が問われる段階に入っています。
▶ 関連記事：多要素認証（MFA）セキュリティ強度ランキング｜認証方式の強さと弱点を徹底解説
▶ 関連記事：【セキュリティ・喫緊】中小企業のパスキー（Passkey）導入はどこまで必要？IDaaSとの組み合わせ方
ブラウザにパスワードを保存してはいけない理由は？
多くの会社で当たり前になっている「ブラウザの、パスワードを保存しますか？に、はいと答える」という運用。これがインフォスティーラーにとっては最も回収しやすい獲物です。ブラウザの保存領域は場所が決まっているため、マルウェアは一括で読み出せます。
| 項目 | ブラウザに保存 | パスワード管理ツール |
|---|---|---|
| 保存場所 | 端末内の決まったフォルダ（読み出されやすい） | 専用の金庫（強固に暗号化） |
| マルウェアへの耐性 | 一括で抜き取られやすい | マスターパスワード等がないと復号できない |
| 会社としての管理 | 個人任せ・何を保存しているか把握できない | 管理コンソールで利用状況を把握できる |
| 弱い・使い回しの検知 | できない | 漏えい済み・使い回しのパスワードを警告できる |
| 退職時の対応 | 本人の端末に残り続ける | 共有金庫へのアクセス権をまとめて剥奪できる |
| 費用 | 0円 | 1ユーザーあたり月額数百円〜 |
自社で取り扱っている1Password Businessは、開発元でも復号できない方式（ゼロナレッジ暗号化）でパスワードを保管し、漏えい済み・使い回し・脆弱なパスワードを検知して警告する機能（Watchtower）を備えています。標準価格は1ユーザーあたり年額15,017円（税抜／20ライセンス以上）、月額換算でおよそ1,250円です。
▶ 関連記事：法人向けパスワード管理ツールの比較｜1Password Business等おすすめ製品の選び方・料金相場
対策は何から手を付ければいい？──優先順位と費用の目安
インフォスティーラー対策は、「盗ませない」「盗まれても使えなくする」「盗まれたことに気づく」の3層で考えると整理できます。1つの製品ですべてを賄うことはできません。次の優先順位で進めるのが現実的です。
| 優先度 | やること | どの層か | 費用の目安（1人・1台あたり月額／税別） |
|---|---|---|---|
| ① 最優先 | ブラウザ保存をやめ、パスワード管理ツールに移す | 盗ませない | 約1,250円 |
| ② 最優先 | パスキー等のフィッシング耐性がある認証に切り替える（IDaaS） | 盗まれても使えなくする | 300円〜660円 |
| ③ 高 | EDR＋SOCで、感染そのものを検知・停止できるようにする | 気づく | 1,000円〜1,660円 |
| ④ 中 | Webフィルタリングで危険なサイト・ダウンロードを塞ぐ | 盗ませない | 500円〜600円 |
| ⑤ 中 | 従業員教育と標的型メール訓練を定期的に回す | 盗ませない | 360円〜900円 |
| ⑥ 中 | 私物端末の業務利用ルールを決め、会社端末に寄せる | 盗ませない | 0円（運用） |
なお、②の「IDaaS（アイダース＝クラウドでID・ログインをまとめて管理する仕組み）」は、単にログインを1回にする（シングルサインオン）だけでなく、「登録した端末以外からはログインさせない」「パスキーでしかログインできないようにする」という設定ができる点が、この脅威に対して効きます。
▶ 関連記事：IDaaS（アイダース）とは？SSO・ID管理ツールの比較と費用相場・選び方
▶ 関連記事：Webフィルタリングソフト比較｜法人向けおすすめ製品と選び方・料金相場
中小企業でも使える製品はどれ？
当社（株式会社アーデント）で取り扱っている製品のうち、インフォスティーラー対策に直接効くものを、役割ごとに整理しました。役割が違うため、どれか1つを選ぶというより、優先度の高い順に足していく形になります。
| 項目 | 1Password Business | GMOトラスト・ログイン | SentinelOneデータお守り隊 | i-FILTER@Cloud | セキュリオ |
|---|---|---|---|---|---|
| 役割 | パスワードの金庫 | ID・ログインの統制 | EDR＋SOC（検知と対応） | Webフィルタリング | 教育・メール訓練 |
| どの層に効くか | 盗ませない | 盗まれても使えなくする | 気づく | 盗ませない | 盗ませない |
| Cookie窃取への効果 | △（保存自体を減らす） | ◎（端末証明書・パスキーで別端末を弾く） | ○（感染時点で止める） | ○（感染源を塞ぐ） | △（気づける人を増やす） |
| 主な機能 | ゼロナレッジ暗号化／共有金庫／漏えい検知 | SSO／パスキー／端末証明書／IP制限 | AIによる24時間365日監視／自動隔離／1クリック復旧 | ホワイト運用／AIチャットフィルター／端末自動隔離 | eラーニング／標的型メール訓練／アウェアネス |
| 料金（税別） | 年15,017円／ユーザー（20ライセンス〜） | 月300円／ID（プロプラン・30ID〜）※無料プランあり | 月1,000円／台（初期費用0円） | 月600円〜／ユーザー（10ユーザー〜・年間契約） | 月360円〜／ユーザー（50名超）※初期10万円 |
| 最低契約 | 20ライセンス | 30ID（プロプラン） | 1台〜 | 10ユーザー | － |
| 補助金の対象 | 対象 | 対象 | 対象 | 対象 | 対象 |
| 詳細 | 詳細を見る | 詳細を見る | 詳細を見る | 詳細を見る | 詳細を見る |
EDRについては、より高度な脅威ハンティングを求める場合はCrowdStrike（1ユーザー月1,104円・税別／最小10ライセンス）という選択肢もあります。どちらも「マルウェアを防ぐ」だけでなく「入られた後に何をされたかを追える」点が、インフォスティーラー対策では重要になります。
▶ 関連記事：EDR徹底比較｜CrowdStrike vs SentinelOne vs Sophos Intercept X｜中小企業に最適なのは？
▶ 関連記事：セキュリティ教育ツール徹底比較｜セキュリオ vs Sophos Phish Threat vs MudFix
感染したかもしれないときは何をすればいい？
インフォスティーラーは画面に何も出ないため、「感染したかもしれない」と気づくきっかけは、身に覚えのないログイン通知・取引先からの不審メールの指摘・不審な送金や購入といった間接的なものになります。疑わしい時点で、次の順に動いてください。
- 該当端末をネットワークから切り離す（LANケーブルを抜く／Wi-Fiをオフにする）。電源は切らず、そのままにします。
- 別の安全な端末から、その人が使っていた業務アカウントのパスワードを変更する（感染端末では絶対に操作しない）。
- 全セッションを強制的にサインアウト（失効）させる。パスワード変更だけではCookieによる乗っ取りは止まりません。
- アカウント側に細工がされていないかを確認する（下記チェックポイント参照）。
- 端末の調査を行う。何が盗まれたのかを特定できなければ、取引先への説明も報告義務の判断もできません。
端末側で確認すること
- 設定からインストール済みアプリを「インストール日順」に並べ、覚えのないソフトが入っていないか
- ダウンロードフォルダに、覚えのない実行ファイル（.exe など）がないか
- タスクマネージャーのスタートアップに、覚えのない項目が登録されていないか
業務アカウント側で確認すること（ここを飛ばすと再侵入されます）
- Microsoft 365／Google Workspace のサインイン履歴に、海外や見慣れない場所からのログインがないか
- メールの自動転送ルール・振り分けルールが勝手に追加されていないか（攻撃者が痕跡を隠すために設定します）
- 多要素認証の登録端末に、知らない端末や電話番号が追加されていないか
- OAuth連携アプリ（外部サービスとの連携許可）に、覚えのないアプリが許可されていないか
- 共有設定・メンバー追加など、アカウントの設定変更履歴に不審な操作がないか
証拠を消さないでください：「とりあえず初期化すれば安心」と端末を初期化してしまうと、何を盗まれたのかを特定する手段が失われます。個人情報の漏えいは、不正の目的による場合1人分でも個人情報保護委員会への報告対象です。「盗まれたかどうか分からない」という状態では、報告も取引先への説明もできません。
自社での切り分けが難しい場合は、専門の調査サービスを使うことになります。当社のマルウェア感染調査サービスは300台まで298,000円（税別）、17時までの注文で翌日対応が可能です（詳細レポートは別途50万円）。
▶ 関連記事：サイバー攻撃を受けたらまず何をすべき？初動対応チェックリスト
▶ 関連記事：サイバー攻撃を受けたら報告義務はある？個人情報の漏えい等報告と2026年10月施行のサイバー対処能力強化法
▶ 関連記事：マルウェア感染調査（フォレンジック調査）とは？費用相場と調査会社の選び方
費用はどれくらいかかる？補助金は使える？
従業員30名の会社を想定して、対策にかかる年間費用の目安を整理します。
| 対策 | 年間費用の目安（30名想定・税別） |
|---|---|
| パスワード管理ツール（1Password Business） | 約45万円 |
| IDaaS（GMOトラスト・ログイン プロプラン） | 約10万8,000円 |
| EDR＋SOC（SentinelOneデータお守り隊） | 約36万円 |
| Webフィルタリング（i-FILTER@Cloud） | 約21万6,000円 |
| セキュリティ教育（セキュリオ） | 約21万6,000円＋初期10万円 |
| （参考）感染後のマルウェア感染調査 | 298,000円〜（詳細レポートは別途50万円） |
注目していただきたいのは最下段です。感染してから調べる費用（29万8,000円〜）は、パスワード管理ツールとEDRを1年間使う費用とほぼ同じ水準です。しかも調査費用を払っても、それは「何が盗まれたか」を知るための費用であって、盗まれた情報が戻ってくるわけではありません。
デジタル化・AI導入補助金で費用を抑える
ここで挙げた製品は、いずれもデジタル化・AI導入補助金の対象となり得ます。補助額は最大450万円、補助率は原則2分の1（小規模事業者は要件により最大5分の4）で、ソフトウェアの利用料を最大2年分まとめて対象にできる枠もあります。
申請の注意点：交付申請にはSECURITY ACTIONの自己宣言IDとGビズIDが必要です。また、交付決定前に発注・契約したものは補助の対象外になります。「まず導入して、あとから申請」はできませんのでご注意ください。補助率・対象要件は年度ごとに変わるため、最新の公募要領の確認と専門家への相談をおすすめします。
▶ 関連記事：セキュリティ対策の費用は補助金で抑えられる？デジタル化・AI導入補助金2026の対象・補助率・申請の流れ
「デバイスに紐づくセッション」という新しい防御は何が違う？
Cookieの窃取という問題に対して、業界ではDBSC（Device Bound Session Credentials＝デバイスに紐づけたセッション認証情報）という新しい仕組みの標準化が進んでいます。
従来のCookieは、盗んで別のパソコンに貼り付ければそのまま使えてしまう「紙のチケット」のようなものでした。DBSCはセッションをその端末の中の安全な領域に紐づけ、別の端末に持ち出された時点で無効になるようにする考え方です。
ただし、DBSCはブラウザとサービス提供側の双方が対応して初めて効きます。中小企業が今すぐ取れる同等の手立ては、パスキーとデバイス証明書です。どちらも「登録した端末でなければログインできない」状態を作れるため、Cookieやパスワードが盗まれても、攻撃者の端末からはログインできません。
| 方式 | 盗まれたパスワードで入られるか | 盗まれたCookieで入られるか |
|---|---|---|
| パスワード＋SMS／メールのワンタイムパスワード | 入られにくいが、リアルタイム型フィッシングで突破され得る | 入られる |
| パスキー（FIDO2） | 入られない（パスワード自体が存在しない） | 入られにくい（セッション有効期限の短縮と併用が前提） |
| デバイス証明書（IDaaSのオプション） | 入られない（未登録端末を拒否） | 入られない（未登録端末を拒否） |
▶ 関連記事：パスワードレス認証（パスキー／FIDO2）完全ガイド｜中小企業がいま導入すべき理由
▶ 関連記事：多要素認証（MFA）ツール比較｜法人向けおすすめ製品と料金・認証方式の選び方
よくある質問（Q&A）
Q. ウイルス対策ソフトを入れていれば防げますか？
A. 一定の効果はありますが、それだけでは足りません。インフォスティーラーは日々新しい亜種が作られており、従来型のウイルス対策ソフト（パターンファイルで既知のものを判定する方式）では検出が追いつかないことがあります。また、従業員が自分で「無料ソフト」としてインストールしてしまうケースでは、そもそも警告が出ないこともあります。ふるまいで判断するEDRと、危険なサイトへ行かせないWebフィルタリングを組み合わせてください。
Q. 社員10名の会社でも狙われますか？
A. 狙われます。インフォスティーラーは特定の企業を狙い撃ちにするのではなく、広くばらまいて、感染した端末から取れるものを自動的に集めるタイプの攻撃です。「うちは小さいから」という理由で除外されることはありません。むしろ警察庁の統計では、ランサムウェア被害企業の約6割が中小企業です。
Q. パスワードを変更すれば、それで対応は終わりですか？
A. 終わりません。Cookie（セッション情報）を盗まれている場合、パスワードを変更してもログイン済みの状態は生き残ります。必ず「全セッションのサインアウト（失効）」もあわせて実施してください。加えて、メールの自動転送ルールや多要素認証の登録端末に、攻撃者が仕掛けを残していないかの確認が必要です。
Q. 多要素認証を入れているのですが、まだ危険ですか？
A. 方式によります。SMSやメールで届くワンタイムパスワードは、リアルタイム型フィッシングで突破される事例が2019年頃から確認されています。またCookieを盗まれた場合は、そもそも認証画面を経由せずに入られます。パスキー（FIDO2）やデバイス証明書のように「端末に紐づく」方式へ切り替えることが、根本的な対策になります。
Q. ブラウザのパスワード保存を、全社で一斉に止められますか？
A. 止められます。Microsoft 365やGoogle Workspaceの管理機能、あるいはIT資産管理ツールの設定で、ブラウザのパスワード保存機能そのものを無効化するポリシーを配布できます。ただし、保存機能を止めるだけだと従業員が付箋やExcelで管理し始めるため、先にパスワード管理ツールを用意してから切り替えてください。
Q. 私物のパソコンやスマートフォンからの業務利用はどう扱えばいいですか？
A. 会社が管理できない端末に会社のIDを保存させないことが原則です。どうしても私物端末を使う必要がある場合は、IDaaSのデバイス証明書やアクセス制限で「登録した端末以外は接続できない」状態にするか、ブラウザ上だけで完結し端末にデータを残さない方式に限定してください。
Q. 情報システム担当者がいなくても運用できますか？
A. できます。EDRについては、当社が扱う「SentinelOneデータお守り隊」のように専門チーム（SOC）による24時間365日の監視が標準で付くサービスを選べば、アラートの判断は外部に任せられます。パスワード管理ツールやIDaaSも、初期設定さえ済ませれば日常の運用負荷は高くありません。導入設定は当社でご支援します。
▶ 関連記事：セキュリティ運用は外部に任せられる？MSS・SOC・MDRの違いと費用相場・選び方
まとめ
インフォスティーラー（情報窃取型マルウェア）は、ファイルを壊さず、画面にも何も出さずに、ブラウザに保存されたID・パスワードとCookieを静かに持ち去るマルウェアです。
感染から1分程度で情報が送信されるため、「気づいてから対応する」では間に合いません。
警察庁の資料では、2025年6月に日本を含む26か国が国際共同捜査に動き、国内で129台の指令サーバが停止されました。
そのサーバの多くは、企業が気づかないまま情報窃取に悪用されていた自社サーバだったと明記されています。
盗まれた認証情報はランサムウェア攻撃の入口になり、復旧に1,000万円以上かかった組織は全体の5割を超えています。
対策の要は2つです。ブラウザへのパスワード保存をやめてパスワード管理ツールに移すことと、パスキーやデバイス証明書のように「端末に紐づく認証」へ切り替えること。
この2つがあれば、パスワードやCookieが盗まれても、攻撃者の端末からはログインできません。
そのうえでEDR＋SOC・Webフィルタリング・従業員教育を足していけば、「盗ませない・使わせない・気づく」の3層がそろいます。
費用はデジタル化・AI導入補助金で抑えられます。感染後の調査費用（29万8,000円〜）と比べれば、平時の投資のほうが確実に安く済みます。
「何から手を付ければよいか分からない」「今の対策で足りているか確認したい」という段階でも構いません。株式会社アーデントでは、パスワード管理・IDaaS・EDR・Webフィルタリング・教育まで各社製品を横断して取り扱っており、補助金の活用も含めて、御社に必要な組み合わせをご提案します。お気軽にご相談ください。
▶ 関連記事：エンドポイントセキュリティの費用はいくら？EPP・EDR・MDRの料金相場と補助金で抑える方法
▶ 関連記事：クラウドサービスは安全？Microsoft 365・Google Workspaceのセキュリティ設定チェックリスト
▶ 関連記事：セキュリティログの保持期間は6か月で十分？主要製品のデフォルト保持期間と延長オプションを徹底比較
▶ 関連記事：ノーウェアランサム（暗号化しないランサムウェア）とは？バックアップだけでは守れない理由と「盗ませない・気づく」対策【中小企業向け】