ダークウェブ上の「情報窃取マルウェア（Infostealer）」と認証情報流出
【背景と概要】
近年の企業向け不正アクセス事故の原因を紐解くと、ゼロデイ脆弱性の悪用と並んで主要な侵入要因の一つとなっているのが「従業員の端末からインフォスティーラー（Infostealer：情報窃取型マルウェア）によって盗まれたID・パスワードやセッションCookieの悪用」です。
「RedLine」「LUMMA」「Raccoon」などのインフォスティーラーは、個人PCや業務端末に静かに感染し、Webブラウザ内に保存されたログイン資格情報、暗号資産ウォレット、Cookieデータを一括して強奪します。盗まれた情報はダークウェブ（闇市場）上のログマーケットで格安（比較的安価）で売買され、他の攻撃者によって企業網への侵入手段として二次悪用されています。
【インフォスティーラーの感染・データ窃取プロセス】
非常に巧妙な配布経路と、ブラウザの構造的弱点を突いてきます。
- 感染経路：SEOポイズニングや海賊版ソフト
従業員やその家族が、個人PC等で海賊版ソフトウェア、クラックツール、あるいはGoogle検索の上位に偽装された「フリーソフトのインストーラー」をダウンロード・実行した際にバックグラウンドで感染します。
- ブラウザ保存データの即時ダンプ（強奪）
感染したマルウェアは、ChromeやEdge等のWebブラウザがローカルのSQLiteデータベースに暗号化（Master Key）して保存している「保存済みパスワード」「オートフィル情報」「セッションCookie（ログイン維持データ）」を復号して一括抽出（ダンプ）します。
- ダークウェブ（Telegram / 闇ショップ）での「ボットログ」販売
盗まれたデータは「ボットログ」と呼ばれる圧縮ファイルとしてまとめられ、攻撃者のC2サーバー経由で闇市場（Genesis MarketやTelegramの闇チャンネル等）へ自動アップロードされます。ログには「どのIPアドレスから」「どのURL（例: [https://company.okta.com](https://company.okta.com)）に対して」「どのID・パスワード・Cookieが盗めたか」が詳細に記録されています。
【企業における構造的リスクと「BYOD・リモートワーク」】
特に個人所有のPCを業務に利用させるBYOD環境や、自宅PCから社内クラウドへアクセスさせている環境において、個人PC側で感染したインフォスティーラーによって業務用のMicrosoft 365やVPNのログイン情報が漏えいするリスクが極めて高くなっています。
【インフォスティーラー脅威に対する防御・検知策】
ブラウザの不適切な設定の禁止と、ダークウェブ監視（CTI）が必要です。
- ブラウザへの「パスワード保存機能」のポリシー禁止
グループポリシー（GPO）やIntuneを用いて、社内PCおよび業務ブラウザにおいて「パスワードをブラウザに保存する」機能を全社的に強制無効化し、専用のエンタープライズ・パスワードマネージャーを利用させます。
- ダークウェブ・クレデンシャルモニタリングの導入
自社のドメイン（@company.com）に関連するメールアドレスやパスワード、セッションCookieが闇市場に流出していないかを監視するサービス（CTI/EASM）を導入し、流出が確認された場合は即座にアカウントを一時凍結・パスワード変更を強制します。
- フィッシング耐性のあるMFA（FIDO2 / パスキー）への切り替え
仮にパスワードとIDがインフォスティーラーによって盗まれても、FIDO2暗号鍵（パスキー等）による認証を必須化しておくことで、別端末からの不正ログインを阻止します。