数百万人の認証情報を漏えいさせた「Stealer Logs（窃取ログ）」マーケットの暴奪
確認時の注意：事例の報道内容や影響範囲は更新される可能性があります。公開時点の一次情報、公式発表、脆弱性情報を確認し、環境の所有者の承認とバックアップを準備してから対策を適用してください。
【背景と概要】
セキュリティ研究機関や漏えいデータベース確認サイト（Have I Been Pwned等）の分析により、世界中で流出した5,600万件以上のユニークなメールアドレスと、1億2,400万件以上のパスワードが含まれる大規模な「Stealer Logs（インフォスティーラー窃取ログ）データセット」がダークウェブやサイバー犯罪フォーラム上で発見され、登録されたインシデントが大きな衝撃を与えました。
これは特定の1企業がハッキングされた事故ではなく、世界中の一般ユーザーや企業のPCから「インフォスティーラー型マルウェア」によって日々の操作の中で長年にわたり静かに蓄積・強奪された認証情報が、一括で闇市場に流出・売買されたことを意味しています。
【Stealer Logs（窃取ログ）の中身と恐ろしい詳細度】
単なる「メールアドレスとパスワードのペア」のリストではありません。
- アクセス先URLとWebサイト名の完全な紐付け
ログには「どのWebサイト（例: [https://company.okta.com](https://company.okta.com) や [https://github.com](https://github.com)）」に対して「どのID」と「どのパスワード」でログインしたかの情報がセットで記録されています。攻撃者は企業専用のログインページをピンポイントで検索して攻撃できます。
- セッションCookie（ログイン維持データ）の同封
パスワードだけでなく、MFA認証を通過した後にブラウザに発行される「セッションCookie」データ自体がログに含まれています。これを攻撃者のブラウザにインポートするだけで、MFAを一切介さずにログイン済みの状態で社内システムへ侵入できます。
- 端末の環境情報（IPアドレス、OS、ブラウザ構成）
感染した端末のIPアドレスや位置情報、OSのバージョンなども記録されているため、攻撃者は被害者の端末になりすましてアクセス制限（IP制限や地域制限）を容易にかいくぐります。
【企業に及ぶ二次被害：クレデンシャル・スタッフィング攻撃】
流出した1億件以上のパスワードリスト（Pwned Passwords）は、攻撃者の自動化ボットに読み込まれ、さまざまな企業クラウドやSaaSへの「リスト型アカウントハック（Credential Stuffing）」や「パスワードスプレー攻撃」に即座に流用されます。従業員がプライベートで使っていたパスワードを業務で使い回していた場合、企業のクラウド環境が突破される直接の原因となります。
【「パスワード流出」を前提とした組織防衛アプローチ】
パスワードという文字情報だけに依存した認証体系からの脱却が必須です。
- ダークウェブ（CTI）による自社ドメイン認証情報の常時モニタリング
自社のドメイン（@company.com）に関するメールアドレスやパスワードがStealer Logs等の闇市場に流出していないかを監視するサービス（CTI）を導入し、検知された場合は即座にアカウント凍結とパスワード強制リセットを行います。
- パスワードの使いまわし禁止とパスワードマネージャーの導入
従業員がサービスごとに異なるランダムで複雑なパスワードを生成・管理できるよう、法人用パスワードマネージャーを導入し、ブラウザ本体へのパスワード保存機能をポリシーで禁止します。
- 「フィッシング耐性のあるMFA（FIDO2 / パスキー）」への完全移行
仮にパスワードとセッションCookieが流出しても、FIDO2暗号鍵（YubiKeyやパスキー等）を用いた物理・端末結合型の認証を必須化しておくことで、第三者の端末からの不正アクセスを物理的に無効化します。