GoogleやAmazonなど、1.8億件のパスワード流出 ─情報窃取型マルウェアが原因

2025年5月29日、Website Planetのサイバーセキュリティ研究者であるジェレマイア・ファウラー氏が、1億8400万件以上のログイン情報が含まれる無保護のデータベースを発見したと発表した。

なぜ、１つの企業ではなく複数企業の情報流出が同時に発見されたのか？理由は、原因となったマルウェアが企業を直接攻撃するのではなく、ユーザーのデバイスに感染して情報を盗むという特性にある。そのため、個人による対策が必須だ。

そこでこの記事では、流出の背景、原因となった情報窃取型マルウェア（インフォスティーラーマルウェア）の仕組み、そしてアカウントを保護するための具体的な対策について解説する。

参考リンク：184 Million Passwords Leaked for Google, Facebook, Instagram and More. How to Protect Your Accounts

情報窃取型マルウェア（インフォスティーラー）とは？

情報窃取型マルウェアとは、感染したデバイスから機密情報を盗む目的で設計された悪意あるソフトウェアだ。さまざまな手法で情報を盗むが、主な手法は以下の通りである。

キーロギング	キーストロークを記録し、パスワード、クレジットカード情報、個人メッセージを盗む
クリップボード乗っ取り	コピー＆ペーストされた内容（パスワードや暗号通貨アドレスなど）を取得
スクリーンキャプチャ	コピー＆ペーストされた内容（パスワードや暗号通貨アドレスなど）を取得
ブラウザデータ窃取	ウェブブラウザに保存された自動入力データ（ユーザー名、パスワード、クッキー）を抽出
暗号通貨ウォレット攻撃	暗号通貨ウォレットのファイルや秘密鍵を標的にする

収集されたデータはスティーラーログ（情報窃取マルウェアがデバイスから窃取した個人情報や機密情報を記録したログ）としてまとめられ、攻撃者のコマンド＆コントロールサーバーに送信される。

これらの情報はダークウェブで売買されたり、フィッシングやアカウント乗っ取りに悪用されたりする。マルウェアはフィッシングメール、悪意あるウェブサイト、改ざんされたソフトウェアアップデートを通じて拡散し、ユーザーが気づかぬうちに侵入する。

情報流出の背景

今回の流出は、特定の企業やプラットフォームのセキュリティ侵害ではなく、インフォスティーラーマルウェアがユーザーのデバイスから直接データを収集した結果だと考えられる。

発表によると、データベースには47.42GBの生データが含まれており、暗号化されずに公開状態で放置されていた。これらのデータは、ウェブブラウザ、メールクライアント、メッセージングアプリから収集され、以下のプロセスで盗まれたと推測される。

1. マルウェア感染：悪意あるリンクのクリックや偽装されたソフトウェアアップデートにより、デバイスがマルウェアに感染。
2. データ収集：マルウェアがブラウザの自動入力データ、クッキー、保存されたパスワードを収集。メールやメッセージングアプリの機密情報も抽出。
3. データ送信：収集データは攻撃者のサーバーに送信され、データベースに集約。
4. 公開または売買：今回は、データが暗号化されていないプレーンテキストとして公開サーバーに保存され、誰でもアクセス可能な状態にあった。

また、データを発見したファウラー氏はデータベースの信憑性を検証するため、一部のメールアドレスに連絡を取り、認証情報を確認。複数のユーザーがパスワードが現行のものであると認め、データの信頼性が裏付けられた。

なぜ複数のプラットフォームの情報が流出したのか

通常、データ漏洩は特定の企業やサービスのシステム侵害が原因だが、今回は異なる。

Amazon、Nintendo、Spotify、Twitter、Yahooなど多様なプラットフォームの認証情報が単一のデータベースに集約されていたのは、インフォスティーラーマルウェアの特性による。このマルウェアは、単一のサービスを狙わず、感染デバイスに保存されたすべての認証情報を収集する。

ユーザーが同一デバイスで複数のサービス（Google、Facebook、銀行アカウントなど）にアクセスし、ブラウザにパスワードを保存している場合、マルウェアはこれらを一括で取得。さらに、複数のサービスで同一のパスワードを再利用している場合、攻撃者は1つの認証情報で他のサービスへの不正アクセスを試みる。このため、1つのデータベースに多様なプラットフォームの情報が含まれ、被害が拡大する。

データベースには政府機関、金融機関、医療プラットフォームの認証情報も含まれ、個人だけでなく企業や公的機関にも影響が及ぶ。発表によると、分析された10,000件のサンプルデータでは、Facebook（479件）、Google（475件）、Instagram（240件）、Roblox（227件）、Discord（209件）などの認証情報が確認され、「bank」や「wallet」といったキーワードも多数検出された。

この多様性は、インフォスティーラーマルウェアの広範なデータ収集能力を示している。

情報窃取型マルウェアの対策 7選

この大規模漏洩から身を守るには、迅速な対応と予防策が不可欠だ。

今回の件と関係しているかは不明だが、４日前、筆者のAmazonアカウントも２要素認証の通知が1時間で8回届き、何者かが不正アクセスを試みていたようだった。2要素認証のおかげで不正ログインを防止できたが、2要素認証以外にも情報窃取型マルウェアへの対策として有効な方法は複数あるため、以下に示す。

パスワードの更新

Google、Facebook、Instagram、Robloxなど影響を受けた可能性のあるアカウントのパスワードを即座に変更。過去1年間更新していない重要アカウントのパスワードも見直す。

強固なパスワード（長く、ランダムで、英数字と記号を組み合わせたもの）を使用し、サービスごとに異なるパスワードを設定。

パスワードマネージャーの活用

ユニークなパスワード管理は困難だ。CNETが推奨するBitwarden（ビットウォーデン）などのパスワードマネージャーを利用すれば、強固なパスワードを生成・保存し、ダークウェブでの漏洩監視も可能。フィッシングサイトでの自動入力防止機能もセキュリティを強化。

2要素認証（2FA）の導入

全オンラインアカウントで2要素認証を有効化。パスワード漏洩時でも、追加の認証（SMSやメールのコードなど）で不正ログインを防止。

アカウント監視

Have I Been Pwned などの情報漏洩チェッカー（15.5億件以上の過去データを含む）を使用し、メールアドレスやパスワードの漏洩を確認。また、異常なアカウント活動（知らないデバイスからのログインなど）に注意し、即座にパスワード変更。

ウイルス対策ソフトの導入

最新のウイルス対策ソフトを導入し、定期スキャンを実行。インフォスティーラーマルウェアの感染防止と脅威検出に有効。夜間や非使用時に自動スキャンを設定。

フィッシング詐欺への警戒

漏洩データはフィッシングやソーシャルエンジニアリングに悪用されるため、不明な送信元からのリンク、QRコード、添付ファイルは決してクリックしない。

メール整理

メールアカウントをクラウドストレージのように扱わず、税務書類、医療記録、契約書などの機密情報を長期保存しない。

まとめ

今回発表された1億8400万件の認証情報漏洩は、情報窃取型マルウェアの脅威を浮き彫りにした。暗号化されていない公開データベースに、複数のプラットフォームの情報が集約され、個人や組織に深刻なリスクをもたらしている。

影響を受けた可能性のあるユーザーは、直ちにパスワード変更と2要素認証導入を進めるべきだ。パスワードマネージャーやウイルス対策ソフトの活用も、長期的なセキュリティ強化に有効である。

サイバー犯罪の巧妙化が進む中、一人ひとりの自己防衛意識は非常に重要になってくる。定期的なパスワード更新、2要素認証、怪しいリンクへの警戒といった習慣が、デジタルライフの安全を守る。漏洩データはすでにダークウェブで悪用されている可能性があり、迅速な行動が求められる。