多要素認証（MFA）を一気に普及させそうな、インフォスティーラーによる証券口座乗っ取り事件

2025年5月23日 2025年5月23日

column

令和最新版のインフォスティーラー、情け容赦なし

思わず「情け容赦ねぇな……」とつぶやいてしまった。今回話題になっていたのは、一般のユーザーが保有する証券口座の乗っ取り事件。

パソコンがインフォスティーラー（情報窃取型マルウェア）にやられて、ログイン情報をごっそり持っていかれた結果、口座に不正アクセスされ──

「大事に育ててきた株ちゃんたちを売却、代わりに某国産のとっても微妙な株を全力購入されていた」

……という、なんとも情け容赦のない鬼畜の所業。

昔のインフォスティーラーといえば、せいぜいキーロガー。画面の後ろでこっそり入力された文字を記録する、そんなイメージだった。

でも今のは、ブラウザに保存されたID・パスワード、Cookie、セッション情報まで全部抜いてくる。盗まれた情報はすぐ売られて、不正ログインに利用される。規模もスピードも段違。

昔、ファイル共有ソフトで流行った「キンタマウイルス」ってあったじゃないですか。知らずに実行すると、PC内のデータをごっそりネットにばらまかれるやつ。あれを「仁義なき戦い」になぞらえて「仁義なきキンタマ」と揶揄してた時代があった。

今回の話も、それに匹敵するくらいの容赦なさ。時代は変わっても、怖さの質は相変わらず…というか、むしろ進化してる。

2003年頃にWinnyなどのファイル共有ネットワークで拡散したマルウェア。感染すると、PC内のファイル（特に個人情報や業務資料など）を自動でネットに公開してしまう。「キンタマ.exe」などのファイル名で出回り、社会問題になった。

結局は“なりすまし”後の不正ログインな訳で、IDとパスワードを正規のものとして使われたら、普通の仕組みでは止められない。それを防ぐには、“もう一段階”の認証が必要。

SMS認証、認証アプリ、物理トークン。少し面倒でも、それだけで突破の難易度は一気に上がります。

多要素認証（MFA）は、「知識（パスワード）」「所有物（スマホ・トークン）」「生体情報（顔・指紋）」など、異なる種類の要素を2つ以上組み合わせる認証方法です。

企業向けでは「多要素認証は当たり前」になってきたけど、今回のように個人ユーザーが標的になるケースも出てきた。

「利便性とのバランス」とか「段階的な導入」とか言っている間に、被害が出てしまうこともある。正直、そろそろ“強制”でもいいんじゃないかと思ってた。めんどいけど。

いまや、ITセキュリティが“面倒”とか“よく分からない”で済まされる時代じゃなくなってきました。放っておくと、自分の人生が丸ごと狙われることだってある。

あれこれ難しいことをする前に、まずはここから。

もちろん、完璧な防御なんてありません。攻撃は日々進化していて、防御もそれに合わせて変わり続ける——まさにイタチごっこ。

でも、そのイタチごっこを怠ったときに、狙われてしまうのもまた現実。

できる範囲でいい。備えておくことが、いちばん確かな防御なのだと思います。

＼最新情報をチェック／