インフォスティーラーの脅威組織の認証情報が危ない！

佐々木氏

実は、今の会社に入るまで、エンジニアとして満足できる活躍ができていなかったんです。しかもクラウド未経験で飛び込んだ現職で配属されたのは、コンテナ型の仮想基盤を扱うような部門。何もわからないところに放り込まれたような状態で危機感を募らせていました。当時すでに30代だったこともあり、若手のように周囲に質問することは気が引けてしまい、自力で勉強するしかないと……。育児と両立しながら成果を出せる方法を考えた結果、思いついたのがオンライン勉強会形式のコミュニティの立ち上げです。

SNSで参加者を募ったところ、1か月で約1,000人も集まるほどの反響がありました。トレンド入りも果たし、いわゆる“バズった”という状況ですね。プログラム開発のコミュニティは数多く存在しますが、当時はインフラという地味な分野の勉強会が見つからず、「インフラをゼロから学ぶ」ことに対し、私と同じように誰にも聞けず一人で悩んでいる人が多い状況をあらためて感じました。SES（System Engineering Service）で凡庸な仕事しかできず、平均点以下の技術力だった私が最新トレンドを身につけたエンジニアになれたのは、この勉強会のおかげです。

勉強会では、初学者が画面共有などを通じてAWSのアカウント作成や、Linuxを用いた構築などを配信します。疑問があればチャットで見守るベテランエンジニアが回答します。教わったとおりにやってエラーが発生すれば、それについてまた質問して誰かが答えてくれる。即席で回答してくれる人が次々に出てきてどんどん人が集まり、2018年は毎日勉強会が開催されていました。初歩的な内容を気兼ねなく何でも質問できる場でしたね。

佐々木氏

企業へのセキュリティの提案をはじめ、プロジェクトマネージャーおよびエンジニア業務のほか、イベントの企画・運営から講演活動など、幅広い仕事に従事しています。近年は、Webメディアでの発信も行うようになりました。

佐々木氏

そうですね。サイバーセキュリティに関するトレンドや最新情報に関する解説を依頼されることもあります。インフォスティーラーを取り上げたのは、証券会社への不正アクセスが注目されてから数か月がたち、あらためて被害額の大きさが話題になっている時期でした。マルウェアの中でも情報窃取型に分類されるインフォスティーラーですが、マルウェアの一種であることには変わりありません。そのため、被害を防ぐために大切なのは、パッチの適用を怠らないなど従来のマルウェア対策を徹底することになります。ただし、正規のアカウント情報を窃取しているため、エンドポイントセキュリティ製品が不正アクセスとして検知することは困難です。

2000年代は、サイバー攻撃の被害が発生すると“ウイルス”“ワーム”“トロイの木馬”“スパイウェア”などマルウェアの特徴ごとに区別して報じられていました。近年はそれらの機能を組み合わせたり、複数の特徴を持つ高度な攻撃が増えたこともあり、多くのケースで総称の“マルウェア”と報じられています。

複数の機能を組み合わせたマルウェアによる攻撃で、皆さんの記憶に新しいと思われるのがEmotetです。Emotetはローダーで不正なソースコードをほぼ含まないため、ウイルススキャンをすり抜けやすく感染の拡大につながりました。ファイルレス技術を用いていることも、ウイルススキャンから逃れやすくさせています。Microsoft Excelなどに悪意のあるマクロを埋め込み、利用者にPowerShellのスクリプトファイルを実行させる手口で被害を増やしていきました。現在は、Microsoft社による仕様変更でマクロ実行が簡単にはできなくなったことや、攻撃者のサーバーのテイクダウンにより被害は減っています。

佐々木氏

インフォスティーラーは、以前から主に認証情報を奪い正規のアクセス権限を悪用するために使用されてきました。しかし、2025年1月に公表された大手インターネット証券での証券口座の乗っ取りで使用が報じられるまで、一般の注目度は高くなかったかもしれません。また、証券口座の乗っ取りでは、フィッシングが攻撃手段に用いられることが多いため、情報が抜き取られるのはブラウザからという印象を持たれている方が多いと思いますが、実際には、システムの脆弱性を狙ったりさまざまな手段を試みます。情報を奪ったら、最後はランサムウェアで暗号化して脅迫するまでがセットのパターンも。このところ、ランサムウェアによる被害が事業に大きなダメージを与える事例が相次いでいます。事前の対策としてできることは、先ほどもお話したように従来のマルウェア対策です。まずはいま一度、パッチの適応漏れがないか確認してください。

佐々木氏

そのとおりです。大企業・中小企業の別なく不特定多数を狙った攻撃が増えています。ターゲットを定めた標的型攻撃の場合、攻撃者はスキャニングツールなどを使って弱そうな基盤を自動で探す仕組みを使っていますから、パッチを適用して補強するだけでも被害の発生を防ぐ確率が格段に上がります。

今日はＳｋｙさんの情報システムご担当者も同席されているので、私からもお話を伺わせてください。これまで、ランサムウェア対策といえば、バックアップといわれてきましたが、近年はバックアップデータにマルウェアが潜んでいることが問題になっています。Ｓｋｙさんでは、バックアップデータの感染問題、どのように対処される予定ですか？

Ｓｋｙ情シス

再感染を防ぐため、バックアップデータをリストアする前に、マルウェアが潜んでいないかをスキャンして確認する手順を対応マニュアルに追加しました。ランサムウェアによる被害が発生した際は、フォレンジック等の調査を経た上で、どの時点のバックアップデータをリストアするか慎重な判断が必要だと考えています。スキャンは、最低でも2社の製品を使用してフルスキャンすることを想定。それでも100％安全とは断言できませんが、リスクは低減できます。また、万が一の際に混乱してミスすることのないよう、今後は定期的なリハーサルを実施する予定です。

佐々木氏

これからは、同様の対応がどの組織でも必要です。マルウェア感染時には、デジタルフォレンジックで原因や影響範囲を調査することが重要ですが、EDR（Endpoint Detection and Response）を導入していれば、ある程度は自分たちでも突き止められます。また、最新のEDRはかなり優秀で、脆弱性を突かれて不正なコマンドが実行された場合のブロック確率が高いので、導入していない組織は、ぜひご検討いただきたいですね。Ｓｋｙさんは、バックアップ以外にもランサムウェアに感染してしまった際の対応マニュアルの更新は行っていますか？

Ｓｋｙ情シス

ちょうど、以前作成したマニュアルに見直しをかけているところです。同じ初動対応でも、CSIRT、情報システム部など、実際に誰が動くのかを明記しています。指示を出すCISO（Chief Information Security Officer）の役割も、これまでより明確にしました。自社で対応できないところについては、セキュリティベンダーに対応してもらえる契約を交わしていますが、あらためて契約内容に不備がないかを確認。万が一の際の全社的なフォレンジック実施など、現時点で対応可能な対策は取り入れています。

佐々木氏

サイバー攻撃は、金曜日の夜中や土日など、即時の対応が難しいタイミングを狙ってきます。そのため、外部のSOC（Security Operation Center）サービスを契約して備えようとする組織が多いのですが、システムを止める必要が生じた場合、外部のSOCサービス担当者にその権限を与えていない、与えられない組織が大半だと思います。しかし、システムを止めなければ感染が拡大してしまう。非常に難しい判断が求められますよね。

Ｓｋｙ情シス

そこは弊社でも同じ悩みを抱えています。そのシステムの管理者にいち早く連絡が取れる体制は整備できていますが、すぐに連絡が取れない可能性もありますから。リスクベースでブロックできるよう、リスクの度合いに応じてアクセスや操作を制限できる仕組みを実装していますが、不安は残ります。

佐々木氏

そうですよね。2025年の9月末、10月末にランサムウェアによる被害が大きく報道された企業も、当然マニュアルや体制の整備はされていたと思います。それでもあれだけ大きな被害が発生してしまう。本当に難しい問題です。

佐々木氏

そうですね。それと同時に現場に求められるのは、何が起きたのかを理解する力です。サイバー攻撃は1日で約692万件、1秒あたり約80回行われているというデータもありますから、脆弱性を放置すれば報道されている被害企業と同様の状況に陥ってしまう可能性が高まります。しかし現実問題、脆弱性情報が公開されたらすぐにパッチを適用できるかといえば難しい。そこで、別の方法で攻撃を止めることができないか、調査して理解する力が必要です。自分たちで状況が理解できなければ、契約しているベンダーから言われるがまま対応するしかありません。そのため、サーバーのイメージから作り直すことになる可能性もあります。セキュリティ担当者には、EDRやSKYSEA Client Viewなど各種セキュリティ製品のログを見て状況を理解し、自組織に最適な対応を判断できるようになっていただけたらと思います。

Ｓｋｙ情シス

確かに、ひととおり理解できるようにならなければ、不要な対応を発生させ現場に迷惑をかける可能性がありますね。しかし、例えばランサムウェアであれば、PCを立ち上げればすぐに暗号化されたという事実には気づけますが、RDP（Remote Desktop Protocol）でどこまで侵入されたのかなど、詳細な状況を把握するには専門的な知識が必要です。そこまでの知識を持ったエンジニアを一般の企業で雇用するのは難しいと思いますので、ログの解析は専門のベンダーに依頼。情報システム部門では、調査結果のレポート内容を理解できるレベルの知識を持つというのが現実的な気もします。

佐々木氏

少なくとも、そこまでの対応ができることは必須です。

佐々木氏

大手新聞社の事例では、マルウェアに感染したBYOD（Bring Your Own Device）端末が原因だったといわれていますが、あらためて従業員の私物端末のセキュリティ対策を徹底する難しさが浮き彫りになりました。盗まれた情報にCookie、特に認証後の状態を維持するセッションCookieが含まれていれば、どこからでもアクセスできるSaaSアプリケーションの多要素認証は意味をなさなくなってしまいます。個人端末からのアクセスを禁止することが難しい組織では、グーグル社が2024年から試験運用を始めているDBSC（Device Bound Session Credentials）のような、ブラウザのセッション保護を強化するサービスを検討してみるのもいいかもしれません。

Ｓｋｙ情シス

個人端末の利用を完全に制限するのは現実的に難しいですし、OSやブラウザ側の問題もあります。サービス側の機能をうまく使うことが重要ですね。近年、副業を許可している企業が増えているので、マルウェアに感染した私物端末をトリガーにした情報漏洩の危険性が高まっているように感じます。

佐々木氏

例えば、副業で本業の肩書を使う場合、活動や成果物を本業の会社に報告する必要があります。その際、私物の端末から会社のネットワークへのアクセスが発生します。私物の端末に会社のEDRを入れることはできないので、パッチの適用を怠らない、不要なアプリケーションはインストールしないなど、個人でも基本的な対策を確実にやっていくしかありません。一般的にスマートフォン用のOSの方がより高いセキュリティが確保されていますので、私物端末からの社内ネットワークへのアクセスは、スマートフォンに限定するという方法も。まずはルールの見直しで対応できるところから検討いただきたいです。

佐々木氏

今回、インフォスティーラーによって認証情報を窃取される脅威や対策についてお話しましたが、企業にとっての脅威はランサムウェア攻撃です。近年は、侵入されることを前提とした対策の重要性が叫ばれるようになりましたが、インフォスティーラーに感染しているということは、認証情報などが抜き取られた可能性が高いと考えてください。インフォスティーラーは、ランサムウェア攻撃の過程で使用されることが多いため、ランサムウェア対策の強化が重要ですが、それはすべてのマルウェア対策にも通じます。

残念ながら、サイバーセキュリティの脅威には完璧な対策というものが存在しません。セキュリティの常識をアップデートすることに加え、セキュリティ対策への投資にはバランス感覚が必要です。そしてどれだけ予算があっても、内部でセキュリティに対応していくノウハウがなければ脅威から組織を守ることはできません。サイバーセキュリティの悩み事は、自分たちで抱え込まず専門家を頼って相談してください。