インフォスティーラーとは？ID・パスワードを盗むマルウェアへの対策

「インフォスティーラー」と聞いて、すぐに意味が分かる方は、それほど多くないかもしれません。

セキュリティの世界では、次々と新しい横文字が出てきます。

「また知らない言葉が出てきた」
「専門家でなければ理解できないのではないか」

そう感じてしまうのも無理はありません。

しかし、インフォスティーラー（Infostealer）という言葉は、難しく考える必要はありません。

「インフォ」は情報、「スティーラー」は盗むものという意味です。つまり、インフォスティーラーとは、パソコンやスマートフォンの中にある情報を盗み出す「情報泥棒型のマルウェア」です。

名前そのものを覚えることよりも、次の点を理解しておくことが重要です。

インフォスティーラーに感染すると、端末内のファイルだけでなく、Google WorkspaceやMicrosoft 365など、ログイン中のクラウドサービスまで不正利用される可能性がある。

本コラムでは、インフォスティーラーが何を盗むのか、どのように感染するのか、中小企業はどのような対策を取ればよいのかを分かりやすく解説します。

 インフォスティーラーとは「情報を盗むマルウェア」 

マルウェアとは、パソコンやネットワークに不正な動作をさせる、悪意のあるプログラムの総称です。

ランサムウェアがファイルを暗号化して金銭を要求するのに対し、インフォスティーラーは、端末内にある情報を見つからないように盗み出すことを主な目的としています。

一度パソコンに侵入すると、わずか数秒から数分の間に端末内の重要データを収集し、外部の暗号化されたサーバーへ送信して速やかに自身の痕跡を消去・消滅させます。そのため、感染したことすら誰も気づかないケースが非常に多いのが特徴です。

代表的なインフォスティーラーは、ブラウザに保存されたID・パスワードやCookie、メール、メッセージアプリの情報、画面のスクリーンショットなどを収集し、攻撃者が管理するサーバーへ送信します。種類によっては、別のマルウェアを追加でダウンロードする機能も持っています。

インフォスティーラーの怖いところは、感染しても、すぐにパソコンが動かなくなるとは限らないことです。

画面上では普段どおり仕事ができていても、その裏側で情報だけが盗まれている可能性があります。そのため、利用者本人が感染に気づかないまま、数日後や数週間後に不正ログインや情報漏えいが発生することがあります。

フィッシングとの違い

IDやパスワードを盗む手口としては、フィッシングもよく知られています。

フィッシングは、本物に似せた偽のログイン画面に利用者を誘導し、自分でIDやパスワードを入力させる手口です。

一方、インフォスティーラーは、端末に入り込んだプログラムが、保存されている情報を自動的に探して盗みます。

ただし、両者は別々に使われるとは限りません。フィッシングメールからインフォスティーラーに感染させるなど、複数の手口が組み合わされる場合もあります。

 インフォスティーラーは何を盗むのか 

インフォスティーラーが狙う情報は、種類によって異なります。主に、次のような情報が対象になります。

　　✖️　ブラウザに保存されたID・パスワード 
　　✖️　Google WorkspaceやMicrosoft 365などのログイン情報 
　　✖️　VPNやリモートアクセスの認証情報 
　　✖️　Cookieやセッショントークン 
　　✖️　クレジットカード情報や自動入力情報 
　　✖️　メールソフトやメッセージアプリの情報 
　　✖️　パソコンの画面やクリップボードの内容 
　　✖️　暗号資産ウォレットに関する情報 

特に企業が注意したいのは、メール、クラウドストレージ、顧客管理システム、会計システム、Webサイト管理画面などの業務用アカウントです。

攻撃者に業務用メールを乗っ取られると、過去のメールや添付ファイルを閲覧されるだけではありません。

取引先になりすましたメールの送信、請求書の振込先変更、パスワード再設定メールの受信、ほかのクラウドサービスへの侵入など、被害が次々と広がる可能性があります。

Cookieは「ログイン済みの証明書」

インフォスティーラーを理解するうえで、特に注意したいのがCookieです。

Cookieとは、Webサイトを利用したときの情報をブラウザに保存する仕組みです。ログイン状態を維持するためにも使われています。

例えるなら、IDとパスワードが建物に入るための鍵だとすれば、ログイン後のCookieは、受付を通過した人が持つ「一時的な入館証」のようなものです。

この入館証に当たる情報が盗まれると、攻撃者がパスワードを入力せず、すでにログイン済みの利用者になりすましてサービスへアクセスできる場合があります。条件によっては、多要素認証を設定していても、盗まれたセッション情報が悪用される可能性があります（「Pass-the-Cookie」や「セッションハイジャック」と呼びます）。

ただし、これは「多要素認証には意味がない」ということではありません。

多要素認証は、パスワードだけを盗まれた場合の不正ログインを防ぐ、非常に重要な対策です。Microsoftも、多要素認証はさまざまな脅威を防ぐうえで、引き続き重要な対策であるとしています。

重要なのは、多要素認証だけで安心するのではなく、端末のマルウェア対策やログイン状況の監視などを組み合わせることです。

 なぜ中小企業にも大きな被害が及ぶのか 

「当社のパソコンには、それほど重要な情報は入っていない」と考える企業もあるかもしれません。

しかし、現在は重要な情報がパソコン本体ではなく、クラウドサービス上に保存されていることが多くなっています。

パソコンに顧客名簿が保存されていなくても、そのパソコンからGoogle Drive、Microsoft 365、顧客管理システム、会計システムなどにログインできれば、攻撃者にとっては十分な価値があります。

また、盗まれた認証情報は、攻撃者自身が使うだけでなく、犯罪者間（闇サイト（ダークウェブ）など）で売買されることがあります。企業のアカウント情報が別の攻撃者へ渡り、後からランサムウェア攻撃や大規模な情報窃取につながることもあります。

私物端末から会社の情報が盗まれることもある

もう一つ注意したいのが、私物パソコンや私物スマートフォンから業務用サービスを利用している場合です。

会社が管理しているパソコンにはセキュリティソフトが導入されていても、従業員の私物端末までは十分に管理されていないことがあります。

私物端末にインフォスティーラーが入り、その端末で会社のメールやクラウドサービスにログインしていた場合、会社の認証情報やCookieが盗まれる可能性があります。Microsoftも、従業員の個人端末への感染が、企業のVPN、SSO（シングルサインオン）^※、メール、クラウドサービスへの侵入口になり得ると説明しています。

インフォスティーラーは、Windowsだけの問題でもありません。近年はmacOSを狙うインフォスティーラーも確認されており、「Macだから安全」とは言い切れません。

※SSO（シングルサインオン）とは、一度のログイン認証で、複数の業務システムやクラウドサービスを利用できる仕組みです。利用者がサービスごとにID・パスワードを管理する負担を減らせるほか、退職者の利用停止なども一元的に管理しやすくなります。一方、SSOの認証情報が盗まれると、複数のサービスへ一度に不正アクセスされるおそれがあるため、多要素認証やアクセス監視との併用が重要です。

（参考）BYOD対策とは？私物スマホ・私物PCの業務利用をどこまで認めるべきか

IPA「情報セキュリティ10大脅威2026」との関係

IPAの「情報セキュリティ10大脅威2026」では、インフォスティーラーという名称自体は、組織向け脅威の独立した項目にはなっていません。

しかし、その被害は、組織向け1位の「ランサム攻撃による被害」、5位の「機密情報を狙った標的型攻撃」、8位の「リモートワーク等の環境や仕組みを狙った攻撃」などと深く関係すると考えられます。

また、個人向け脅威には「インターネット上のサービスへの不正ログイン」や「インターネット上のサービスからの個人情報の窃取」が挙げられています。

つまり、インフォスティーラーは新しい名前の脅威ではあるものの、被害の内容は、従来から注意されている「パスワード窃取」「不正ログイン」「情報漏えい」「ランサムウェア」などにつながるものです。

 インフォスティーラーはどこから感染するのか 

インフォスティーラーは、特別な操作をした人だけが感染するものではありません。

仕事中の何気ないダウンロードやクリックが、感染のきっかけになることがあります。

検索結果や広告に表示された偽サイトから、ソフトウェアをダウンロードさせる手口があります。

無料のPDF変換ソフト、動画編集ソフト、VPNソフト、画像加工ツール、生成AIツールなどを装い、実際にはインフォスティーラーを含むファイルを配布します。

検索結果の上位に表示されているからといって、必ずしも安全とは限りません。

生成AIへの関心を悪用した攻撃も確認されています。

Googleの脅威分析では、SNS上の広告から偽のAI動画生成サイトへ誘導し、ダウンロードしたファイルを実行させることで、ID・パスワード、Cookie、クレジットカード情報などを盗む攻撃が報告されています。

「無料で試せる」「今だけ利用可能」といった広告から、業務用パソコンで安易にツールをダウンロードしないことが重要です。

取引先、配送業者、宿泊施設、クラウドサービスなどを装ったメールから、不正な添付ファイルやWebサイトへ誘導する手口もあります。

「予約が取り消されます」
「請求書をご確認ください」
「アカウントが停止されます」

このように、利用者を急がせる内容には注意が必要です。

CAPTCHA（キャプチャ）とは、Webサイトを操作しているのが人間か、自動プログラムであるロボットかを確認する仕組みです。「私はロボットではありません」というチェック欄や、指定された画像を選ぶ画面などが代表的です。

この仕組みに見せかけて、「確認を完了するため、表示された文字列をコピーして、パソコンの操作画面に貼り付けてください」などと指示する攻撃があります。

指示された文字列をWindowsの「ファイル名を指定して実行」やPowerShell、Macのターミナルなどに貼り付けて実行すると、利用者自身が不正なプログラムを動かしてしまい、インフォスティーラーに感染する可能性があります。

通常のCAPTCHAで、パソコンの操作画面を開いたり、意味の分からない文字列や命令文を貼り付けたりする必要はありません。このような指示が表示された場合は、操作を中止してページを閉じ、社内の担当者に相談しましょう。

有料ソフトの海賊版、ライセンス認証を回避するツール、ゲームの改造ツールなどに、インフォスティーラーが組み込まれていることがあります。

業務用端末では、会社が許可していないソフトウェアをインストールしないという基本ルールが重要です。

 中小企業が行うべきインフォスティーラー対策 

インフォスティーラー対策のために、まったく新しい仕組みを一から導入しなければならないわけではありません。

IPAも、脅威の種類が増えても、ソフトウェアの更新、セキュリティソフトの利用、パスワード管理・認証の強化など、基本対策を継続することが重要だとしています。

業務で使用するソフトウェアは、公式サイトや会社が指定したサービスから入手します。

検索結果に表示された広告や、まとめサイト、個人が公開しているダウンロードリンクなどから、安易にファイルを入手しないようにしましょう。

社内ルールとして、次の点を明確にしておくことが有効です。

Windows、macOS、ブラウザ、Office製品、PDF閲覧ソフトなどは、できる限り最新の状態に保ちます。

更新を長期間止めていると、既に知られている脆弱性を悪用される可能性が高まります。

（参考）脆弱性管理とは？アップデートを後回しにする中小企業のリスク

セキュリティソフトは、導入するだけでなく、常に有効な状態になっているか、定義ファイルや機能が更新されているかを確認します。

より高度な対策としては、端末上の不審な動作を検知するEDRの活用も考えられます。

ただし、セキュリティ製品だけですべての感染を防げるわけではありません。利用者教育やアカウント管理と組み合わせることが必要です。

会社が許可したソフトウェアだけを実行できるようにする「アプリケーション制御」も有効です。

利用者が誤って不正なファイルをダウンロードしても、実行そのものを止められれば、感染を防げる可能性があります。

（参考）アプリケーション制御とは？未知のマルウェアを“実行させない”端末防御の考え方

アカウントごとに異なるパスワードを設定し、使い回しを避けます。

パスワードをExcel、付箋、テキストファイルなどに保存するのではなく、会社が認めたパスワード管理方法へ統一しましょう。

また、重要なサービスには多要素認証を設定します。可能であれば、パスキーなど、フィッシングに強い認証方法も検討します。

管理者アカウントについては、特に強い認証方法を設定し、利用者を必要最小限に絞る必要があります。

（参考）アカウント管理とは？退職者ID・共用ID・管理者権限を放置するリスク

従業員の私物パソコンから、会社のメールやクラウドストレージへ自由にログインできる状態は、リスクを高めます。

原則として会社管理端末を利用する、私物端末からアクセスできる情報を制限する、端末の登録や認証条件を設けるなど、自社に合ったBYODルールを決めましょう。

Google WorkspaceやMicrosoft 365などでは、管理画面からログイン履歴を確認できます。

普段とは異なる国や地域からのログイン、深夜のアクセス、大量のファイルダウンロード、不審なメール転送設定などを発見できるよう、定期的にログを確認することが重要です。

 感染したかもしれないときの対応 

インフォスティーラーへの感染が疑われる場合、「とりあえずパスワードを変えればよい」と考えるのは危険です。

感染している端末から新しいパスワードを入力すると、そのパスワードも盗まれる可能性があります。また、パスワードを変更しても、盗まれたCookieやセッショントークンによるアクセスが続く場合があります。

次のような順番で対応します。

（参考）インシデント対応とは？サイバー攻撃を受けたとき中小企業が最初にすべきこと

 まとめ：名前よりも「情報を盗むマルウェア」と覚える 

インフォスティーラーという言葉を、無理に専門用語として覚える必要はありません。

まずは、次のように理解しておけば十分です。

インフォスティーラーとは、パソコンやブラウザから、ID・パスワードやログイン中の情報を盗み出すマルウェアである。

盗まれるのは、端末内のファイルだけではありません。

メール、クラウドストレージ、顧客管理システム、会計システム、VPNなど、会社が日常的に利用しているサービスへの「入口」が盗まれる可能性があります。

中小企業がまず取り組みたいのは、難しい専門製品を次々と導入することではありません。

会社が許可していないソフトを入れない、OSやブラウザを更新する、多要素認証を設定する、私物端末の利用ルールを決める、セキュリティソフトを適切に運用するといった基本対策を、確実に続けることです。

そして、万が一の際に迷わないよう、「誰に連絡するか」「端末をどう切り離すか」「アカウントをどう止めるか」を、あらかじめ決めておくことが大切です。

セキュリティ対策に関する不安や、貴社に最適なセキュリティ構成のご相談がございましたら、ぜひお気軽にLYSTまでお問い合わせください。