メールやSNSへの身に覚えのないログイン、証券口座の不正アクセス、不審な送信メールなどが突然確認された場合、パソコンにインフォスティーラーと呼ばれる情報窃取型マルウェアが感染している可能性があります。インフォスティーラーは、単にパスワードだけを盗むのではなく、ブラウザに保存されたCookie、セッショントークン、クレジットカード情報、暗号資産ウォレットなど幅広い情報を狙う点が特徴です。

そのため、感染が疑われる状態で同じパソコンからパスワードを変更したり、マルウェアだけを削除して利用を続けたりすると、再び認証情報を盗まれる可能性があります。また、Cookieやセッショントークンが窃取されていた場合は、パスワードを変更しただけでは第三者のログイン状態が残る恐れがあります。

特に業務端末や管理者アカウントで感染が疑われる場合は、端末の駆除だけでなく、メール、SSO、VPN、クラウド、GitHub、金融サービスなどへの影響を横断的に確認する必要があります。調査が必要な場合は、再起動や初期化を急ぐことでメモリやログなどの証拠が失われる可能性にも注意が必要です。

そこで本記事では、インフォスティーラー感染が疑われるときに最初に行うべき初動対応、安全な別端末から実施するアカウント封じ込め、端末の扱い、認証情報・金融被害の確認、フォレンジック調査で原因と被害範囲を確認する方法までわかりやすく解説します。

インフォスティーラー感染が疑われる主なサイン

インフォスティーラーは、感染しても画面上に分かりやすい警告を出さないことがあります。そのため、端末そのものの異常だけでなく、メールやクラウド、金融サービスなどに現れる不審な動きを確認することが重要です。

身に覚えのないログインやセッションがある

メール、SNS、クラウドなどで見覚えのない端末や地域からのログインが確認された場合は、認証情報やセッションが盗まれている可能性があります。

インフォスティーラーでは、保存されたパスワードだけでなく、ログイン状態を保持するCookieやセッショントークンが窃取される場合があります。そのため、本人しか知らないパスワードを設定していても、不正アクセスが成立する可能性があります。

業務メールから不審なメッセージが送信されている

Microsoft 365やGoogle Workspaceなどのメールアカウントから、自分では送っていないメールが送信されている場合は注意が必要です。

侵害されたメールアカウントが、取引先へのフィッシングや請求書詐欺などに悪用される可能性があります。送信済みメールだけでなく、転送ルールや受信トレイ規則、委任設定なども確認する必要があります。

証券・銀行・暗号資産サービスに不審な操作がある

証券口座への見覚えのないログイン、銀行口座の設定変更、暗号資産取引所へのアクセスなどが確認された場合は、金銭被害に直結する可能性があります。

特に保存済みパスワードやCookieが盗まれていた場合、攻撃者が正規利用者のようにサービスへアクセスすることがあります。

Google・Microsoft 365などの復旧情報が変更されている

回復用メールアドレス、電話番号、MFA登録端末などに覚えのない変更がある場合は、第三者がアカウントへのアクセスを維持しようとしている可能性があります。

パスワード変更だけで終わらず、復旧情報や登録済み認証方法まで見直すことが重要です。

不審なファイルやブラウザ拡張機能を実行した直後に異常が起きた

偽CAPTCHA、海賊版ソフト、クラックツール、不審な広告、メール添付などをきっかけにファイルを実行した後、アカウント異常が発生した場合は、感染経路として確認する必要があります。

インフォスティーラーは短時間で認証情報を窃取することがあるため、現在マルウェアが動作しているかだけではなく、すでに外部へ送信された情報がないかを確認する視点が重要です。

複数のサービスで不審なログインが発生している場合は、一つずつパスワードを変えるだけでなく、端末そのものが感染源になっていないか確認する必要があります。

インフォスティーラー感染が疑われるときに最初に行うこと

感染が疑われる場合は、端末から外部への通信を止めることと、別の安全な端末からアカウントを封じ込めることを並行して進めます。

感染が疑われる端末をネットワークから隔離する

最初に、対象端末からLANケーブルを抜き、Wi-Fi、Bluetooth、VPNなどの通信を停止します。

企業端末でフォレンジック調査を行う可能性がある場合は、いきなり電源を切ったり再起動したりするのは避けた方がよい場合があります。メモリや実行中プロセスなど、調査に必要な情報が失われることがあるためです。

安全な別端末から重要アカウントを保護する

パスワード変更などの操作は、感染が疑われるパソコンではなく、別の安全な端末から行います。

感染端末から新しいパスワードを入力すると、その情報まで再び盗まれる可能性があるためです。

優先的に確認したいのは、メール、パスワードマネージャー、IdP・SSO、VPN、金融・証券、クラウド管理アカウント、SNS、ECサービスなどです。

すべてのセッションを失効させる

インフォスティーラーでは、ブラウザCookieやセッショントークンが盗まれている可能性があります。そのため、パスワードを変更しただけでは十分でない場合があります。

各サービスで「すべての端末からログアウト」「全セッションを終了」などの操作を行い、既存のログイン状態を無効化します。

企業環境では、VPNトークン、PAT、APIキー、クラウドアクセスキー、端末証明書などもローテーション対象として確認します。

MFA・復旧情報・連携アプリを再確認する

攻撃者がMFA端末や回復用メールアドレスを追加していると、パスワード変更後も再侵入される可能性があります。

登録済みMFA端末、復旧用メール、電話番号、バックアップコード、OAuth連携アプリなどを確認し、知らないものを削除します。

利用可能であれば、認証アプリやFIDO2セキュリティキー、パスキーなど、フィッシング耐性のある認証方法を検討します。

発覚時の状況を記録する

感染原因や被害範囲を後から確認できるように、発覚日時、対象端末、利用者、検知契機、直前にアクセスしたURLや実行したファイルなどを記録します。

EDRのアラートや不審ログイン通知、金融サービスの警告などがある場合も削除せず保存します。

インフォスティーラーではパスワード変更だけでは不十分な理由

情報窃取型マルウェアへの対応で見落とされやすいのが、パスワード以外の認証情報です。ブラウザに残るCookieやセッションが盗まれていた場合、攻撃者が再認証なしでサービスへアクセスできる可能性があります。

ブラウザに保存されたID・パスワード

ChromeやEdgeなどに保存していた認証情報が窃取される可能性があります。

そのため、感染端末で利用していたアカウントを洗い出し、重要度の高いものからパスワードを変更します。

Cookie・セッショントークン

Cookieやセッショントークンが盗まれると、サービスによってはパスワードを再入力せずログイン状態を再現される可能性があります。

そのため、パスワード変更とあわせて既存セッションを無効化することが重要です。

クレジットカード・自動入力情報

ブラウザに保存したカード情報や住所、電話番号などの自動入力情報が対象になる可能性もあります。

カード情報の流出が疑われる場合は、カード会社へ相談し、不審利用の監視や再発行が必要か確認します。

暗号資産ウォレットや関連情報

暗号資産ウォレットに関連するファイルや認証情報が狙われる場合があります。

不審な送金や出金先変更がある場合は、取引所などのサービス事業者へ早急に連絡する必要があります。

APIキー・クラウド・開発環境の認証情報

企業の開発端末では、GitHubのPAT、クラウドアクセスキー、APIキー、VPN認証情報などが保存されている場合があります。

これらが盗まれると、感染した一台の端末からクラウドや社内環境へ被害が広がる可能性があります。

インフォスティーラー感染では、「パスワードを変えたから安全」と判断せず、セッション・トークン・キーまで漏えいした前提で影響範囲を確認することが重要です。

インフォスティーラー感染時に確認したいアカウント

感染後は、パソコン内のマルウェアだけを見るのではなく、感染端末から利用していたアカウントに不審な操作がないか確認します。

メール・Microsoft 365・Google Workspace

メールでは、サインイン履歴だけでなく、受信トレイ規則、転送設定、委任設定、復旧先情報などを確認します。

企業環境では、管理者ロールやOAuthアプリの同意に身に覚えのない変更がないかも確認します。

VPN・SSO・クラウド管理アカウント

VPN、IdP、SSO、AWS、Azure、Google Cloudなどへ不審なアクセスがないか確認します。

特権アカウントやクラウド管理者資格情報が保存されていた端末では、通常ユーザーより優先度を上げて調査する必要があります。

GitHub・APIキー・開発環境

GitHubのPAT、SSH鍵、APIキーなどを端末で利用していた場合は、それらも漏えい対象として評価します。

不審なclone、push、権限変更、クラウドAPI利用などがないかを確認します。

パスワードマネージャー

パスワードマネージャーを利用していた場合は、端末一覧、保管庫へのアクセス状況、緊急アクセス設定などを確認します。

マスターパスワードやセッションが侵害された可能性がある場合は、保管している認証情報全体への影響を評価する必要があります。

銀行・証券・カード・暗号資産

金融サービスでは、ログインだけでなく、出金先追加、口座設定変更、カード利用、取引履歴などを確認します。

身に覚えのない操作がある場合は、調査を待たずに金融機関やサービス事業者へ連絡し、取引制限や利用停止について相談します。

インフォスティーラー感染端末の安全な扱い方

感染端末を今後も利用する場合は、単にマルウェアを削除するだけで十分かどうかを判断する必要があります。個人端末と業務端末では、求められる対応レベルも異なります。

個人端末ではオフラインでフルスキャンする

証拠保全の必要がない個人利用の端末であれば、ネットワークから切り離した状態で信頼できるセキュリティ製品によるフルスキャンを行います。

検出結果は保存しておきます。ただし、スキャンで何も見つからなかったことだけで、感染していなかったと断定することはできません。

業務端末では証拠保全を優先する

企業端末、顧客情報を扱う端末、管理者アカウントを利用していた端末などでは、駆除を急ぐ前に調査の必要性を判断します。

再起動、セキュリティソフトによる削除、初期化などによって、侵入経路や情報流出を調べるための痕跡が失われる場合があります。

高リスク端末は再イメージングを検討する

管理者権限でマルウェアが動作した可能性がある場合や、業務機密・顧客情報へアクセスできた端末では、駆除後にそのまま使い続けるより、再イメージングやOSのクリーンインストールを検討します。

OS、ブラウザ、主要アプリを最新化したクリーンな環境を用意し、必要なデータだけを戻します。

必要データだけを慎重に退避する

感染端末からデータを移す場合は、実行形式ファイル、スクリプト、不審なブラウザプロファイルなどをそのまま持ち込まないようにします。

必要な文書などを選別し、復元前にスキャンすることが重要です。

金融・証券・暗号資産への被害が疑われる場合

インフォスティーラーでは、認証情報の窃取が実際の金銭被害へつながることがあります。金融サービスに異常がある場合は、端末の調査よりも先に資金移動を止める対応が必要です。

金融機関・証券会社へ早急に連絡する

身に覚えのないログインや取引がある場合は、銀行や証券会社の公式窓口へ連絡します。

取引制限やアカウント保護、不正取引の調査について案内を受けます。

クレジットカードの利用停止を相談する

ブラウザに保存していたカード情報が流出した可能性がある場合は、カード会社へ相談します。

利用停止、不正利用監視、カード再発行などの必要性について確認します。

暗号資産の出金先・取引履歴を確認する

暗号資産取引所では、ログイン履歴だけでなく、出金先アドレスの追加や変更、不審な出金がないか確認します。

異常がある場合は、利用している取引所へ早急に連絡します。

不審な変更や取引の証拠を保存する

不正ログイン通知、口座設定変更、取引履歴、出金先などは、削除せずスクリーンショットなどで保存します。

金融機関や警察へ相談するときに、発生日時や被害内容を説明する資料として利用できる可能性があります。

証券口座の不正アクセスや不審な送金が確認されている場合は、マルウェアの削除を優先するのではなく、資金移動の停止と証拠保全を先に進めることが重要です。

インフォスティーラー感染を防ぐための対策

復旧後は、パスワードだけでなく、ブラウザや端末の利用方法も見直すことが再発防止につながります。

ブラウザへのパスワード・カード保存を見直す

ブラウザに大量の認証情報を保存していると、端末侵害時の影響が大きくなる可能性があります。

MFAを設定したパスワードマネージャーなどへの移行も選択肢になります。

パスキー・FIDO2などを利用する

利用可能なサービスでは、認証アプリやパスキー、FIDO2セキュリティキーなどを利用します。

パスワードだけに依存しない認証へ移行することで、認証情報窃取後の不正ログインリスクを抑えやすくなります。

ブラウザ拡張機能を棚卸しする

不要な拡張機能や、閲覧データ・パスワードなどへの過大な権限を持つ拡張機能を削除します。

提供元や更新状況が分からない拡張機能を安易に追加しないことも重要です。

OS・ブラウザ・アプリを継続的に更新する

OSだけでなく、ChromeやEdge、Office、PDF閲覧ソフト、リモートアクセス製品なども継続的に更新します。

あわせて、偽CAPTCHA、不審な広告、海賊版ソフト、クラックツールなどを感染経路として警戒する必要があります。

組織ではEDR・最小権限・監査ログを組み合わせる

企業では、EDRだけに依存せず、メール・Webフィルタ、最小権限、監査ログ、条件付きアクセスなどを組み合わせます。

認証情報が窃取された場合でも、不審なログインを検知しやすい状態を作ることが重要です。

インフォスティーラーの原因と被害範囲をフォレンジック調査で確認する方法

インフォスティーラーが疑われる場合、マルウェアを削除しただけでは「何が盗まれたのか」「どのアカウントまで悪用されたのか」が分からないことがあります。業務端末や金銭被害を伴うケースでは、端末とアカウントの記録を横断して確認する必要があります。

感染経路や不審ファイルの実行痕跡を確認する

インフォスティーラー感染の原因を正確に確かめるには、端末内のプログラムや操作履歴を客観的に確認する必要があります。その手法として有効なのがフォレンジック調査です。

フォレンジック調査では、ダウンロードされたファイル、実行履歴、ブラウザ利用、各種ログなどを解析し、どのタイミングで感染した可能性があるのかを整理します。

窃取対象となった認証情報を整理する

感染端末で利用していたブラウザ、メール、VPN、クラウド、GitHubなどを確認し、どの認証情報が影響を受けた可能性があるかを整理します。

パスワードだけでなく、Cookie、セッション、APIキー、トークンなども確認対象として評価します。

クラウド・メール・金融への後続アクセスを確認する

端末感染が確認されても、その後に実際の不正アクセスが発生したかは別途確認する必要があります。

Microsoft 365、Google Workspace、VPN、クラウド、金融サービスなどのログを時系列で照合することで、盗まれた認証情報が悪用された可能性を整理できます。

情報流出の可能性と被害範囲を整理する

企業端末の場合は、認証情報だけでなく、顧客情報や機密ファイルにアクセスされた可能性も確認する必要があります。

端末内の痕跡やネットワーク・クラウド側のログを組み合わせ、どの範囲まで影響が及んだ可能性があるかを整理します。

インフォスティーラー感染が疑われる業務端末では、駆除を急いで再起動・初期化すると、侵入経路や情報窃取の痕跡が失われる場合があります。証券口座の不正アクセス、業務メールからの不審送信、管理者アカウントの異常がある場合は、端末の駆除より先にサービス事業者や社内CSIRTへ連絡し、必要な証拠を保全することが重要です。

フォレンジック調査会社に相談する

インフォスティーラー感染後に、どの認証情報が盗まれた可能性があるのか、実際にクラウドやメールへ不正アクセスされたのかを自社だけで確認するのが難しい場合は、フォレンジック調査会社への相談を検討します。

フォレンジック調査会社では、対象端末や各種ログを保全したうえで、不審ファイルの実行履歴、ブラウザや認証情報に関する痕跡、クラウド・メールへの後続アクセスなどを調査し、感染原因と被害範囲を整理できます。

特に業務端末や特権アカウントが関係する場合は、どこまで認証情報を失効・ローテーションすべきかを判断するためにも、感染端末だけでなく周辺サービスを含めて調査することが重要です。

おすすめのフォレンジック調査会社

公式サイトデジタルデータフォレンジック

編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。

デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上ある国内有数のフォレンジック調査サービスです。

24時間365日の相談窓口があり、緊急時でも安心です。相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。

【厳格調査】デジタルデータフォレンジックの評判は？口コミや評価、料金体系からサービスを調査

2024.3.5

フォレンジックとは「パソコンやHDD、スマートフォンなどのデジタル端末に残されたログやデータ類を抽出し、サイバーセキュリティ調査や法的紛争支援などを行う」技術です。 近年はデジタル技術の急拡大により、

【2026年版】ハッキング調査会社を見分けるポイント6選！費用相場や悪徳業者の特徴も解説

2024.3.5

会社や自分のパソコンやスマホがハッキングされたかもしれないと気付いたとき、どうやって調査すればよいのでしょうか。 「パソコンが遠隔操作され、詐欺にあったかもしれない…」

まとめ

インフォスティーラー感染が疑われる場合は、まず対象端末をネットワークから隔離し、安全な別端末から重要アカウントの認証情報を変更します。パスワード変更だけでなく、すべてのセッションを失効し、MFA、復旧情報、OAuth連携、APIキーなども見直すことが重要です。

また、インフォスティーラーはブラウザのCookie、保存済みカード情報、暗号資産関連情報などを狙う場合があります。そのため、メール、金融、証券、パスワードマネージャー、VPN、クラウド、GitHubなど、感染端末から利用していたサービスを横断して確認する必要があります。

業務端末や管理者権限が関係する場合は、マルウェアを駆除して使い続けるだけではなく、再イメージングも検討します。一方で、実際の情報流出や不正アクセスを調査する必要がある場合は、再起動や初期化を急ぐことで証拠が失われる可能性があります。

証券口座の不正アクセス、業務メールからの不審な送信、管理者アカウントの異常などがある場合は、サービス事業者や社内CSIRTへの連絡を優先し、必要に応じてフォレンジック調査によって感染経路、窃取された可能性のある認証情報、後続アクセスまで整理することが重要です。