ハッカーはパスワードよりもブラウザ セッションを欲しがりますが、それを阻止することはできます

---

2023 年 4 月、FBI は Genesis Market と呼ばれる招待制のダークウェブ マーケットプレイスを閉鎖しました。この押収は、司法省と17か国の法執行機関との協力による「クッキーモンスター作戦」の一環として行われた。彼らは、詐欺師がパスワードを入力せずにユーザーのアカウントにログインできるようにするセッション Cookie を含む、約 150 万台のデバイスから 8,000 万件の認証情報が盗まれたことを発見しました。

Genesis Market はなくなったかもしれませんが、「スティーラー ログ」と呼ばれる漏洩したセッション Cookie のバンドルは今も収集され、他のダーク Web スペースで販売されています。実際には、 NordVPN 研究者 2025 年 6 月から 2026 年の間に Infostealer データで盗まれた Cookie は 524 億件を超えました。とはいえ、良いニュースは、アカウント設定からアクティブなセッションを取り消すとすぐに、盗まれたセッション Cookie が機能しなくなることです。そのため、セッション Cookie がダークウェブに流出したかどうかを確認し、必要に応じてアカウントを修復し、そもそもそのような漏洩を回避することが重要です。

ブラウザセッションはなぜそれほど価値があるのでしょうか?

アカウントへのログインに成功するたびに、Web サイトはブラウザに、 セッションクッキー。テキスト ファイル内には一意のセッション ID が含まれており、これを使用すると、ログインしている限り、Web サイトはユーザーを即座に認識できます。これにより、新しいページに移動したり、その Web サイトで新たなリクエストを行うたびに、ログイン資格情報を入力し続ける必要がなくなります。

通常、セッション Cookie には数時間から数週間の有効期限があり、有効期限が過ぎるとログアウトされ、再度資格情報を再入力する必要があります。しかし、問題は、他の誰かがあなたのセッション Cookie を手に入れた場合、その人があなたのふりをしてログイン セッションに便乗できるということです。

これを達成するために、ハッカーは Infostealer と呼ばれるマルウェアの一種を使用します。これには、Lumma、Vidar、StealC、Acreed、Atomic Stealer (AMOS) などの悪名高い名前が含まれます。これらは、感染した Web サイト、海賊版ソフトウェア、偽のインストーラーを通じてデバイスに侵入します。侵入すると、ユーザーのアクティビティを静かに監視し、パスワード、PIN、自動入力データ、セッション Cookie を抽出します。これらはすべて、スティーラー ログと呼ばれるファイルに記録され、ハッカーに直接配信されます。

ハッカーがこれらのスティーラー ログにアクセスすると、それらを販売したり、自分自身で使用したりすることができます。いずれにせよ、誰かがこれらのログをブラウザにインポートするとすぐに、デバイスのセッション Cookie を使用して、ログインしているアカウントを効果的に乗っ取ることができます。彼らはそのウィンドウを使用して、ユーザーをログアウトし、パスワードをリセットすることもできます。

スティーラーログがダークウェブで販売される仕組み

攻撃者がスティーラーログを取引するために使用する、非常に組織化されたダークウェブのサプライチェーンがあります。ロシアンマーケットは事実上、ブラックハットサイバー犯罪者の新たな店舗としてジェネシスマーケットに取って代わりましたが、市場の多くもテレグラムのプライベートチャネルに移行しました。

脅威アナリストによると、 ダークフクロウ、2025 年の前半だけで、約 180,000 個のスティーラー ログがロシア マーケットで販売されました。さらに、ロシア マーケットは、ユーザーが Onion リンクや Tor ブラウザがなくてもアクセスできる、うまく設計されたストアフロントです。つまり、誰でもそこにアクセスして大量のスティーラーログを購入し、大規模なアカウント乗っ取りを試み始めることができるということです。

その間、 フレアリサーチ 現在、窃盗ログの 90% が Telegram 上に非公開で公開されているため、これは実際の脅威の規模にさえ近くないと推定されています。そこでは、自動化されたチャットボットを使用して、詐欺師が Amazon のように窃盗ログを購入できるようにし、国、アプリ、アカウント権限ごとにフィルターするオプションを備えています。丸太は、ターゲットアカウントの推定価値に応じて、1 個あたり 5 ドルから 500 ドルの間で販売されます。

セッション Cookie が漏洩したかどうかを確認する方法

盗まれたすべての Cookie や資格情報を追跡する単一のデータベースはありませんが、アカウントが侵害されたのではないかと疑うかどうかを確認する、消費者に優しい方法がいくつかあります。ダークウェブの脅威を追跡するために月額数百ドル、さらには数千ドルをサブスクリプションに費やす余裕のある企業ユーザーにはさらに多くの選択肢がありますが、それらはほとんどの場合、一般ユーザーにとってはやりすぎです。

これを行う最も簡単な方法は、ほとんどの Web サイトのアカウント設定で、アクティブなデバイスとその位置をすべて確認することです。見覚えのないデバイスや場所が表示された場合は、進行中の侵害の対象になっている可能性があります。ただし、iCloud プライベート リレーまたは VPN を使用している場合、これが常に信頼できる方法であるとは限らないことに注意してください。それでも、一般的には、アクティブなすべてのセッションから時々ログアウトし、新たにログインして未承認のセッションを無効にすることがベスト プラクティスです。

第二に、 私はポーンされてしまったのか は、主要なダークウェブ フォーラムやマーケット全体で盗まれた認証情報を追跡する無料のサービスです。実際にはセッション Cookie を追跡しませんが、電子メール アドレスまたはパスワードが侵害された場合、おそらくセッション Cookie も保持していると言っても過言ではありません。通知にサインアップして、アカウントの 1 つでデータ漏洩が発生したときにアラートを受け取ることもできます。セッション Cookie を追跡する消費者向けのダークウェブ監視ツールはあまりありませんが、NordVPN の Complete プランまたは Prime プランには、 ハイジャックされたセッション ダークウェブを積極的にスキャンして、あなたに影響を与える可能性のあるリークを探します。

セッションが侵害された場合の対処方法

検出について説明したので、セッション Cookie が盗まれ、進行中の侵害の被害者であることが確認された場合の対処法について説明します。以下の手順を実行する順序が重要であることに注意してください。間違った順序で実行すると、攻撃が完了した後に再びアカウントを乗っ取る機会が攻撃者に与えられてしまいます。

1. まず、所有しているデバイスで完全なウイルス対策スキャンを実行します。攻撃者は、最初にデバイスに感染しない限り、セッション Cookie を手に入れることはできません。スキャン中にウイルス対策ソフトがフラグを立てたマルウェアをすべて削除し、時間があればオペレーティング システムをクリーン インストールします。

2. 電子メール アカウントのパスワードをリセットし、保護を強化するために 2 要素認証を有効にし、新たにログインする前にすべてのセッションからサインアウトします。ほとんどの Web サイトが確認コードやマジック リンクを送信する場所であるため、電子メールの受信箱はほとんどの攻撃の単一の入り口となります。

3. 侵害されていると思われるすべてのアカウントのすべてのアクティブなセッションからサインアウトします。これにより、現在ハイジャックされた閲覧セッションに参加している攻撃者がログアウトされます。

4. すべてのプラットフォームで優先順位に従ってパスワードを変更します。まずは銀行の Web サイト、クラウド ストレージ プロバイダー、パスワード マネージャーから始めます。

5. 侵害された各アカウントのサードパーティ統合とアプリの権限を調べます。アプリを認識できない場合、またはアプリが疑わしい場合は、アクセスを取り消します。また、現在使用している API キーも侵害されている可能性があるため、必ずローテーションしてください。

セッション Cookie によるセキュリティ リスクの軽減

今のところブラウザセッションを安全に保つ確実な方法はありませんが、それはすぐに変わるかもしれません。 デバイス バインド セッション認証情報 (DBSC) 主導権。これは、コンピュータのセキュリティ チップで保護された秘密キーを使用して、ログインした各オンライン セッションを効果的にロックするオープン Web 標準であり、攻撃者がセッション Cookie を使用して別のデバイスからユーザーになりすますことができなくなります。 Googleはすでに実装しています Chrome 上の DBSC Windows および Google アカウントの場合。 macOS 上の Chrome ユーザーも徐々にこの機能にアクセスできるようになります。

ただし、この取り組みはすでにオープンソース化されていますが、この記事の時点では、他の主要なオンライン プロバイダーはこの取り組みのネイティブ サポートを提供し始めていません。つまり、DBSC のセキュリティ上の利点は、Gmail やドキュメント、Windows 版 Chrome などの Google サービス、および Google アカウントにシングル サインオン (SSO) オプションを提供するサードパーティの Web サイトに限定されます。ただし、近い将来、さらに広範な展開が行われる可能性があります。