感染した従業員のコンピューター1台から、パスワードだけでなく、はるかに多くの情報が流出する可能性がある。攻撃者に認証済みセッションへのアクセスを与え、再度ログインすることなく企業システムへの扉を開く可能性もある。
Outpost24の「2026 Credential Exposure Benchmark Report」によると、米国と欧州の4,824組織を調査した結果、72%でインフォスティーラー関連の認証情報漏えいが確認された。この調査結果は、侵害されたアカウントが少数にとどまる場合でも、認証情報の窃取が企業に広範な影響を及ぼし得ることを示している。
インフォスティーラーは、感染したデバイスから保存済みパスワードやセッションCookie、認証トークンを収集できる。セキュリティチームにとって、これはパスワードのリセットだけでは解決できない可能性がある問題だ。盗まれたセッションも失効させなければ、攻撃者がそのセッションを通じてアクセスを維持する恐れがある。
過去12カ月間のインフォスティーラー報告書
Outpost24は、米国と欧州の金融サービス、消費財・サービス、政府、ビジネスサービス、ヘルスケア分野に属する4,824組織を調査した。
The Next Webによると、報告書は業界ごとに大きな違いがあることを明らかにした。業界別では金融サービスが最も大きな影響を受け、77%で少なくとも1件のインフォスティーラー関連認証情報が確認された。
それ自体は驚くことではない。というのも、その業界の企業を侵害することの潜在的な価値を考えれば当然だが、この報告書で首位となった事実は依然として懸念される。ほぼ誰もが金融サービスを利用しており、金融分野の侵害は非常に多くの被害者に影響を及ぼす可能性があるからだ。
一方、消費財・サービス企業では、498件の認証情報が漏えいしており、そのほとんどが顧客アカウントに関連していた。
地域による違いも明らかになった。欧州の企業では、漏えいした認証情報が平均224件に上り、米国企業の184件を22%上回った。
この調査結果は、認証情報の漏えいが広く発生していることを示している。ただし、漏えいしたアカウント数だけでは、攻撃者が企業システムへのアクセスに成功したかどうかは必ずしも分からない。
インフォスティーラーの標的はパスワードだけではない
インフォスティーラーは、保存済みパスワードを盗むマルウェアだと理解されることが多い。しかし、その標的はログイン情報にとどまらない。攻撃者がセッションCookieや認証トークンを狙うケースが増えているのは、盗まれたパスワードとは異なり、有効なセッションCookieがあれば、認証情報を再入力せずに、すでに認証済みのユーザーになりすませる可能性があるためだ。
これは、多要素認証（MFA）に依存する組織にとって特に懸念される。MFAはログイン時にもう1つの保護層を追加するが、攻撃者がパスワードを使わず認証トークンを盗めば、MFAを回避できる可能性がある。
そのため、セッションセキュリティ、エンドポイント保護、侵害されたセッションを失効させる能力は、インフォスティーラー感染への組織の対応における重要な要素となる。
盗まれた認証情報の件数が示す危険性
一見すると、Outpost24の報告書の数字は、インフォスティーラーが認証情報漏えい問題のごく一部しか占めていないことを示しているように見える。調査した3,150万件の認証情報のうち、インフォスティーラーに関連するものは84万4,000件、つまり3%未満にすぎない。
しかし、この小さな割合は、はるかに大きな問題を覆い隠している可能性がある。侵害された従業員アカウント1つが組織内部への足掛かりとなり、そのアカウントの権限次第では、他のシステムやリソースにアクセスする機会を攻撃者に与えかねない。
Metaが関与した2026年10月のインシデントは、その新たな事例だ。攻撃者は、従業員から盗んだ認証情報を使って、同社の一部のGitHubリポジトリにアクセスしたと報じられている。
このインシデントは、なぜ侵害された認証情報の数だけでは、事業への潜在的な影響を測る指標として不十分なのかを示している。機密性の高い開発リソースにアクセスできる従業員アカウント1つのほうが、漏えいした顧客ログイン数百件よりも深刻な内部セキュリティリスクになり得る。
この問題はMetaに限られない。大きく報じられたサイバー攻撃のいくつかは、従業員のマシンの侵害と関連しており、追加の情報が流出していた。企業のトップ幹部や開発者は、この種の攻撃で業界が記録してきた標的の1つとなっている。そのアカウントが持つアクセス権限が大きいためだ。
根本的な問題は、従業員のデバイスが企業メールやクラウドプラットフォームから、開発環境や社内アプリケーションに至るまで、複数のビジネスサービスへのアクセスを提供していることだ。
そのため、インフォスティーラーへの感染が1件だけでも、単独のパスワード漏えいとして扱うのではなく、より広範な侵害の起点となっていないか調査する価値がある。
この報告書が防御側に意味すること
Outpost24の調査結果は、インフォスティーラー感染への対応で、組織がパスワードのリセットだけでは不十分である理由を改めて示している。MFAは依然として重要な防御策だが、エンドポイント保護、セッションセキュリティ、アクセス制御で補完すべきだ。
組織はエンドポイントの検知と対応（EDR）を導入し、攻撃者がセキュリティツールを無効化できないよう改ざん防止機能を有効にするとともに、デバイス上の不審な活動を監視すべきだ。
ブラウザーにも注意が必要だ。ブラウザーには、インフォスティーラーが狙うパスワードやセッションCookieなどの認証データが保存されているためだ。GoogleがWindows向けChrome 146とMac向けChrome 148で導入したDevice Bound Session Credentials（DBSC）は、盗まれたセッションCookieを再利用しにくくすることで、他のデバイスでの再利用を防ぐ追加の保護を提供する。
組織はまた、最小権限アクセスを徹底し、不要な管理者権限を制限し、ラテラルムーブメントを監視するとともに、通常とは異なるログイン活動を確認すべきだ。
Outpost24の調査結果は、組織がインフォスティーラー感染を単なる単独のパスワード窃取以上のものとして扱うべき理由を示している。セキュリティチームは、どの情報が漏えいしたのか、アクティブなセッションが侵害されたのか、影響を受けたアカウントがどの業務システムにアクセスできたのかを特定する必要がある。
パスワードのリセット、エンドポイントの修復、セッションの失効、最小権限アクセス制御によって、被害の封じ込めを図ることができる。目標は盗まれた認証情報の数を減らすだけでなく、侵害されたアカウント1つが組織全体への侵入口となるのを防ぐことだ。
なお、 Googleが213件のセキュリティ脆弱性を修正したChrome 157をリリースした。7件の重大な脆弱性も含まれており、潜在的なセキュリティリスクを減らすため、ユーザーとIT管理者にブラウザーの更新を促している。