従業員のコンピューター1台が感染しただけで、パスワード以上のものが漏えいする恐れがあります。攻撃者は認証済みセッションにもアクセスできるようになり、再度ログインしなくても社内システムへ侵入できる可能性があるためです。
Outpost24の「2026 Credential Exposure Benchmark Report」は、米国と欧州で調査した4,824組織のうち72%で、インフォスティーラーに関連する認証情報の露出を確認しました。この結果は、侵害されたアカウントがごく少数であっても、認証情報の窃取が企業に広く影響しうることを示しています。
インフォスティーラーは、感染したデバイスから保存済みパスワード、セッションCookie、認証トークンを収集できます。セキュリティチームにとっては、パスワードのリセットだけでは解決しない問題が生じます。盗まれたセッションを無効化しなければ、攻撃者がそのセッションを通じてアクセスを維持し続ける可能性があるからです。
過去12カ月のインフォスティーラー被害の実態
Outpost24は、米国と欧州の金融サービス、消費財・消費者向けサービス、政府、ビジネスサービス、医療の各分野にわたる4,824組織を調査しました。
The Next Webによると、このレポートでは業種ごとに大きな差が明らかになりました。業種別では金融サービスが最も深刻で、77%が少なくとも1件のインフォスティーラー関連の認証情報を確認されています。
この業界の企業を侵害することの価値を考えれば意外ではありません。それでも、金融サービスが今回のレポートで首位に立った事実は懸念されます。ほぼ全員が金融サービスを利用しており、金融分野での侵害は多数の被害者に影響しかねないためです。
一方、消費財・消費者向けサービス企業では498件の認証情報が露出しており、そのほぼすべてが顧客アカウントに関連するものでした。
地域差も見られました。欧州企業の露出した認証情報は平均224件で、米国企業の184件より22%多い結果でした。
この結果は、認証情報の露出が広範に及んでいることを示唆しています。ただし、露出したアカウント数だけでは、攻撃者が実際に社内システムへのアクセスに成功したかどうかは分かりません。
パスワードにとどまらないインフォスティーラーの標的
インフォスティーラーは、保存されたパスワードを盗むマルウェアと捉えられがちですが、標的はログイン情報だけではありません。攻撃者はセッションCookieや認証トークンを狙う傾向を強めています。盗まれたパスワードと異なり、有効なセッションCookieがあれば、再び認証情報を入力しなくても、認証済みユーザーになりすませる場合があるためです。
これは、多要素認証（MFA）に頼る組織にとって特に懸念される事態です。MFAはログイン時に保護の層を追加しますが、攻撃者がパスワードを経由せず認証トークンを盗めば、突破される恐れがあります。
そのため、セッションのセキュリティ、エンドポイント保護、侵害されたセッションを無効化する能力は、インフォスティーラー感染への対応において重要な要素となります。
盗まれた認証情報の数字に潜むリスク
Outpost24のレポートの数字を一見すると、認証情報の露出問題のうちインフォスティーラーが占める割合はわずかに思えるかもしれません。調査した3,150万件の認証情報のうち84万4,000件、3%未満にすぎないためです。
しかし、この小さな割合の陰には、はるかに大きな問題が潜んでいる可能性があります。従業員アカウント1つが侵害されれば、攻撃者は組織内に足がかりを得て、そのアカウントの権限次第で他のシステムやリソースにアクセスできるかもしれません。
Metaが関与した2026年10月のインシデントは、その新たな事例です。攻撃者は、従業員の盗まれた認証情報を使い、同社のGitHubリポジトリの一部にアクセスしたと報じられています。
この事例は、侵害された認証情報の数だけでは、事業への潜在的な影響を測る指標として不十分であることを示しています。機密性の高い開発リソースにアクセスできる従業員アカウント1つが、露出した数百件の顧客ログインよりも深刻な社内セキュリティリスクとなりうるからです。
この問題はMetaに限ったものではありません。大きく報じられたサイバー攻撃のいくつかは、従業員の端末が侵害され、追加の情報が露出したことと関連づけられています。企業の経営幹部や開発者は、この業界で標的になった実例が確認されています。アカウントが持つアクセス権限が大きいためです。
根本的な問題は、従業員のデバイスが、企業メールやクラウドプラットフォームから開発環境、社内アプリケーションまで、複数の業務サービスへのアクセス手段になっていることです。
したがって、インフォスティーラーの感染は1件であっても、単発のパスワード漏えいとして片づけず、より広範な侵害の起点である可能性を踏まえて調査する価値があります。
防御側にとってのレポートの意味
Outpost24の調査結果は、インフォスティーラー感染への対応でパスワードのリセットにとどまってはならない理由を裏づけています。MFAは依然として重要な防御策ですが、エンドポイント保護、セッションセキュリティ、アクセス制御で補完する必要があります。
組織はEDR（エンドポイントでの検知と対応）を導入し、攻撃者によるセキュリティツールの無効化を防ぐ改ざん防止機能を有効にするとともに、デバイスの不審な動きを監視すべきです。
ブラウザーにも注意が必要です。インフォスティーラーが狙うパスワード、セッションCookie、その他の認証データが保存されているためです。GoogleのDevice Bound Session Credentials（DBSC）は、WindowsではChrome 146、MacではChrome 148で導入され、盗まれたセッションCookieを他のデバイスで再利用しにくくすることで、追加の保護を提供します。
組織はさらに、最小権限のアクセスを徹底し、不要な管理者権限を制限し、横方向の移動（ラテラルムーブメント）を監視し、通常と異なるログイン活動を確認する必要があります。
Outpost24の調査結果は、インフォスティーラーの感染を単発のパスワード窃取以上のものとして扱うべき理由を浮き彫りにしています。セキュリティチームは、どの情報が露出したのか、アクティブなセッションが侵害されたのか、影響を受けたアカウントがどの業務システムにアクセスできたのかを見極める必要があります。
パスワードのリセット、エンドポイントの修復、セッションの無効化、最小権限のアクセス制御は、被害の封じ込めに役立ちます。目標は、盗まれた認証情報の数を減らすことだけではありません。侵害されたアカウント1つが、組織全体への侵入口になるのを防ぐことです。
その他のニュースとして、 GoogleはChrome 157をリリースし、深刻な脆弱性7件を含む213件のセキュリティ脆弱性を修正しました。ユーザーとIT管理者に対し、潜在的なセキュリティリスクを減らすため、ブラウザーを更新するよう促しています。
翻訳元: https://www.esecurityplanet.com/cybersecurity/news-infostealer-credential-exposure-outpost24-report/
