インフォスティーラーは大規模なクッキー収集を行っている
NordVPNの調査は、ブラウザクッキーがインフォスティーラーマルウェアの主要な標的のひとつになっていることを示しています。2025年6月9日から2026年6月8日までの約1年間の観察期間において、研究者はインフォスティーラーの過去のデータの中から52,389,324,619件の盗まれたクッキーを特定しました。
データセットに含まれる盗まれたデータの種類の中で、クッキーは件数ベースで最も多く登場しました。同じデータセットには、67億5,000万件のオートフィルエントリ、21億7,000万件のファイル、15億5,000万件の認証情報の記録、6億799万件のパスワード、3億4,140万件のユニークな被害者メール、109万件の支払いカードが含まれていました。インフォスティーラーが収集したクッキーの件数は、他のすべてのデータの種類を合計した4.6倍以上に上ります。
この規模は、ブラウザクッキーがなぜこれほど価値ある標的になっているかを示しています。クッキーの中には、ウェブサイトがユーザーの設定を記憶したりログイン状態を維持したりするためのものもあれば、広告、トラッキング、分析に使用されるものもあります。インフォスティーラーが感染したデバイスからクッキーを収集すると、オンライン上の行動が明らかになったり、犯罪者があなたの興味に関するプロファイルを構築したり、セッションクッキーの場合はアクティブなログインセッションを乗っ取ろうとする攻撃者の助けになる可能性があります。
インフォスティーラーマルウェアは通常、危険なダウンロード、偽のソフトウェアアップデート、悪意ある広告、フィッシングリンク、クラックされたアプリ、ゲームチート、感染したメールの添付ファイルを通じて感染します。本調査で言及されているNetflix、YouTube、Twitch、Googleなどのサービスはマルウェアの発生源ではありません。これらは、感染したデバイスのブラウザデータが収集された後に情報が漏洩する可能性があるアカウントの例です。
広告・トラッキングクッキーが最も多く盗まれた
広告・トラッキングクッキーは、調査で盗まれたクッキーの中で最大の割合を占めていました。これらのクッキーは攻撃者にアカウントへの直接アクセスを与えるわけではありませんが、オンライン上の行動、興味、閲覧パターンに関する情報を明らかにする可能性があります。
トラッキングには、あなたが認識していない可能性があるいくつかの種類のクッキーも関与しています：
- サードパーティクッキー。閲覧しているサイト以外のウェブサイトやサービスによって設置され、広告、リターゲティング、クロスサイトトラッキングに使用されることが多いです。
- スーパークッキー。通常のブラウザクッキーの保存領域外に識別子を保存できる、より持続性の高いトラッキングファイルで、標準的なブラウザクッキーより削除が困難です。
- ゾンビクッキー。ユーザーが削除した後でも自己再生できるトラッキングクッキーで、特にプライバシーを侵害する性質を持っています。
とはいえ、この調査結果は、盗まれたクッキーがアカウントをアンロックする必要がなくても価値を持ち得ることを示しています。この規模においては、広告、分析、トラッキングに使用されるクッキーでさえ、サイバー犯罪者に誰かが訪れるサイト、関心を持っている可能性のあること、そしてウェブ上での行動パターンを示すことができます。
3つのインフォスティーラーファミリーが盗難の大部分を担った
盗まれたクッキーの記録の大部分は、少数のインフォスティーラーファミリーに結びついていました。Lumma-C2、RedLine、Vidarという3つのインフォスティーラーマルウェアファミリーが、調査で特定された盗まれたクッキーのほぼ5件に4件を占めていました。
Lumma-C2が最大の割合を占め、盗まれたクッキーの34.5%を占め、次いでRedLineが27.2%、Vidarが18.1%でした。合計では、盗まれたクッキーの79.8%を占めていました。
この集中度が重要なのは、広く使用されている少数のインフォスティーラーが、感染したデバイスから大量のブラウザデータを流出させる可能性があるためです。これらのツールは、ブラウザに保存されたクッキー、保存された認証情報、オートフィルエントリ、ファイル、サイバー犯罪者に有用なその他の情報など、感染したデバイスからデータを収集するよう設計されています。
法執行機関による摘発で主要なインフォスティーラーの活動のいくつかは混乱させられましたが、より広範な脅威は排除されていません。あるマルウェアファミリーが弱体化しても、他のファミリーはブラウザデータの収集を続けることができます。つまり、クッキーの盗難は特定のグループやキャンペーンに限定されたものではなく、新たに登場したまたはまだ活動中のインフォスティーラーは、ひとつの活動が壊滅した後もブラウザデータを標的にし続けることができます。
盗まれたクッキーがセキュリティリスクとなる理由
インターネットのクッキーはデフォルトでは危険ではありません。ウェブサイトはクッキーを使用してページの動作を維持し、ユーザーの設定を記憶し、ログイン後にユーザーを認識します。リスクは、クッキーがブラウザから盗まれ、攻撃者がそれを再利用してウェブサイトにまだログイン中のユーザーであると思い込ませようとするときに始まります。
セッションクッキーは、ユーザーがすでにログインしていることをウェブサイトが認識するのを助けるため、最も機密性が高いです。攻撃者がアクティブなセッションクッキーを盗んだ場合、パスワードを入力することなくユーザーになりすましてアカウントにアクセスしようとする可能性があります。この種の攻撃はセッションハイジャックと呼ばれます。
他の盗まれたクッキーはアカウントを直接アンロックしないかもしれませんが、攻撃者が誰かについてより多くの情報を得たり、詐欺をより説得力のあるものにしたりするのに役立つ可能性があります。同じインフォスティーラーのログからの盗まれた認証情報、オートフィルエントリ、ファイル、デバイス情報とともにクッキーが存在する場合、攻撃者はデバイスの背後にいる人物のより明確な像を把握し、そのコンテキストを使って詐欺を個人化する可能性があります。
これがクッキー盗難の規模が重要な理由です。盗まれたパスワードは明らかなセキュリティリスクですが、盗まれたクッキーも人々が使用するサービス、閲覧方法、そして攻撃者がアクティブなセッションを乗っ取ることができるかどうかを示す可能性があります。
クッキーの盗難は世界的な問題
クッキーの盗難は特定の地域やプラットフォームに限定されていません。デバイスが感染すると、ブラウザに保存されているクッキーが漏洩する可能性があります。NordVPNの研究者は250以上の国と地域で盗まれたクッキーを発見しており、インフォスティーラーマルウェアが感染したデバイスを通じていかに広く拡散できるかを示しています。
盗まれたクッキーの総量では、インドが46億8,000万件のクッキーでデータセットをリードし、次いでブラジルが28億3,000万件、米国が24億3,000万件、インドネシアが21億件、フィリピンが19億3,000万件でした。ベトナム、トルコ、パキスタン、メキシコ、フランス、エジプト、タイ、コロンビア、アルゼンチン、ペルーも上位の国々に含まれていました。日本は46位で、約1億8,897万件の盗まれたクッキーが確認されました。
盗まれたクッキーの量を人口規模と比較すると、ランキングは異なる様相を見せます。ウルグアイは人口1人あたり約29件の盗まれたクッキーで最も高い割合を示し、次いでペルーが約23件、チリが約22件でした。
これは、それらの国のすべての人が影響を受けたことを意味するわけではありません。1台の感染したデバイスが多くのクッキーを漏洩させる可能性があるため、この数字は個々の被害者数ではなく、人口と比較した盗まれたクッキーの量の規模を示しています。
これらの調査結果を総合すると、クッキーの盗難は広範でありながら不均一であることがわかります。実際のリスクはシンプルです。インフォスティーラーマルウェアがデバイスに到達すると、そのデバイスがどこにあるかにかかわらず、ブラウザに保存されているクッキーが漏洩する可能性があります。
日常的なアカウントが盗まれた記録に登場
調査ではまた、インフォスティーラーのデータがいかに日常的なオンラインアカウントと結びついているかも明らかになりました。盗まれたログイン記録の中では、accounts.google.comが1,178万件の記録で最も多く登場し、次いでfacebook.comが810万件、login.live.comが785万件でした。
Instagram、Discord、Netflix、Roblox、モバイルのFacebookおよびInstagramのドメインなど、広く使用されているサービスもトップ10に登場しました。このランキングは、インフォスティーラーが銀行、ビジネス、高価値の企業アカウントに関連するデータだけでなく、日常的に使用するサービスに関連するデータも収集することを示しています。
これが重要なのは、個人アカウントがデジタルライフの他の部分と接続されていることが多いためです。盗まれたログイン情報は、メッセージ、保存された支払い情報、回復オプション、リンクされたプロファイル、または使いまわされた認証情報を漏洩させる可能性があります。同じ感染したデバイスから盗まれたクッキーと認証情報の記録が揃うと、攻撃者はアカウントを悪用する複数の手段を持つことになります。
ウイルス対策だけではクッキーの盗難を防げない可能性がある
調査では、セキュリティソフトウェアがインストールされたデバイスからも盗まれたクッキーが見つかりました。インストールされたセキュリティソフトウェアを記録したスティーラーのログのうち、96.3%がWindows Defenderを記載しており、残りは市販のウイルス対策スイートを参照していました。
これはウイルス対策ツールが役に立たないことを意味するわけではありません。単一の保護層では、すべてのインフォスティーラー感染を防ぐことはできないことを示しています。データが漏洩した可能性がある場合にそれを知り、ログアウト、パスワードの変更、デバイスのマルウェアスキャンによって迅速に対応することも必要です。
ストリーミングおよびエンターテインメントアカウントがアラートデータで目立つ
NordVPNのセッションハイジャックアラートデータは、漏洩したセッションクッキーが検出された場合にどのサービスが登場するかについての限定的なスナップショットを提供します。2026年6月のセッションハイジャックアラートデータの内部分析では、ストリーミングおよびエンターテインメントサービスが影響を受けたデバイスで頻繁に登場しました。Twitchは47台の影響を受けたデバイスに、Netflixは42台、YouTubeは29台に関連していました。Bingは20台の影響を受けたデバイスに登場し、Redditは6台に登場しました。
このサンプルは、すべての盗まれたクッキー、すべての影響を受けたアカウント、またはより広範なNordVPNの調査データセットを代表するものではありません。これは最も盗まれたサービスのランキングとして読むべきではありません。それでも、このサンプルはセッションクッキーの盗難が銀行、メール、仕事用アカウントだけのリスクではないことを示しています。
エンターテインメントアカウントも悪用され、転売され、または特に保存された支払い情報、共有プロファイル、使いまわされた認証情報が含まれている場合、より広範なアカウントの不正使用への足がかりとして使用される可能性があります。
NordVPNのセッションハイジャックアラートが対応を支援する仕組み
NordVPNのセッションハイジャックアラートは、あなたのセッションクッキーが既知の盗まれたクッキーのデータセットに現れた場合に警告します。これにより、影響を受けたアカウントからログアウトし、パスワードを変更し、新たなセッションクッキーを作成することで迅速に対応できます。
内部データは、警告を受けた後に多くの影響を受けたデバイスがアラートの発生を停止したことを示唆していますが、この分析では新しいクッキーがいつ作成されたかを直接追跡するのではなく、アラートの活動をその代替指標として使用しました。フィンガープリントされた144台のデバイス全体で、1台あたりの中央値は2件のアラートでした。そのサンプルでは、58台のデバイスが1件のアラートのみを発生させ、49台が2件から5件のアラートを発生させました。
セッションハイジャックアラートトはNordVPNの次世代のウイルス対策の一部であり、既知の盗まれたクッキーのデータセットで見つかった漏洩したセッションクッキーに焦点を当てています。アラートを受け取った場合は、アクティブなインフォスティーラーが新しいクッキーを収集し続けている可能性があるため、デバイスのマルウェアスキャンも実施してください。
ワンクリックでオンラインセキュリティ対策を。
世界をリードするVPNで安全を確保
クッキーが盗まれた場合の対処法
クッキーが盗まれたことが判明した場合、すべてのデバイスで影響を受けたアカウントからログアウトしてください。ログアウトすることでアクティブなセッションが終了し、盗まれたセッションクッキーが攻撃者に使い続けられる可能性が低くなります。
次に、パスワードを変更し、二要素認証を有効にし、最近のアカウントアクティビティ、接続されたデバイス、回復オプション、保存された支払い方法を確認してください。見覚えのないものがあれば削除し、セキュリティ設定を更新してください。
最後に、ブラウザからクッキーをクリアし、プライバシーの設定に基づいてクッキーを有効または無効にする設定を見直し、デバイスのマルウェアスキャンを実施してください。
調査方法
NordVPNの研究者は、NordStellarプラットフォームを通じてインフォスティーラーの過去のクッキーデータを分析し、盗まれたクッキーの量、それらに関連するマルウェアファミリー、国レベルの分布、クッキーの使用パターンを把握しました。
分析期間は2025年6月9日から2026年6月8日までの約1年間をカバーしています。本調査のすべての数値はその期間内の累積クッキー記録数です。52,389,324,619という見出しの数字は、ユニークなユーザー、デバイス、または感染件数ではなくクッキーの記録数を指しています。
調査では、オートフィルエントリ、ファイル、認証情報の記録、パスワード、ユニークな被害者メール、支払いカードを含む、より広範なデータセットに含まれる他の盗まれたデータの種類とクッキーの記録を比較しました。マルウェアファミリーおよび国別の割合は、1年間のクッキー総数に基づいて計算されました。
クッキーデータはスティーラーのログから収集され、研究者はそれらのログに付随するメタデータを使用しました。国レベルの調査結果は、クッキー自体からではなく、同じ感染したコンピュータのログ内のクッキーとともに含まれていた国情報に基づいています。一部のクッキー記録には国情報がなかったため、国データのある記録のみが国別カウントに含まれています。
マルウェアファミリーは、ログにすでに含まれているタグに基づいて割り当てられ、それらのログ内のクッキーと照合されました。クッキーのカテゴリは、「session」を含む名前など、クッキー名の中の単語によってグループ化されました。ウイルス対策の調査結果は、セキュリティ製品を記録した9,838,326件のスティーラーログに基づいています。そのうち96.3%がWindows Defenderを記載しており、残りは市販のウイルス対策スイートを記載していました。
この記事の情報には、NordVPNのセッションハイジャックアラートデータの2026年6月の個別の内部分析も含まれています。この分析は、2026年5月17日から6月10日の間に受信した2,057件の集計されたアラート行をカバーし、イベントのタイムスタンプは2026年2月4日から6月10日までの範囲にわたっています。この分析には144台の異なるフィンガープリントされたデバイスが含まれており、デバイスフィンガープリントのない行は1台あたりの分析から除外されました。
この分析では、エクスポートにクッキー識別子またはクッキー作成タイムスタンプが含まれていなかったため、新しいクッキーがいつ作成されたかを直接追跡することができませんでした。そのため、アラートアクティビティの終了がアクションの代替指標として使用されました。
調査結果は、NordStellarプラットフォームを通じて分析された観察されたインフォスティーラーデータと限定的な内部のセッションハイジャックアラートの分析を反映しています。これらは、その期間中に世界的に盗まれたすべてのクッキーの完全な数、影響を受けたユニークなユーザーまたはデバイスの数、または世界中のすべての盗まれたクッキーのランキングとして解釈されるべきではありません。
