93.7億件のクッキー(Cookie)がダークウェブに流出-「ただの同意」が大きなリスクに変わるとき|セキュリティニュース-セキュリティ対策 Lab

投稿日時: 2025年06月11日更新日時: 2025年06月11日

93億件のクッキー(Cookie)がダークウェブに流出-「ただの同意」が大きなリスクに変わるとき

サイバー脅威の可視化プラットフォームNordStellarとNordVPNによる共同調査で、ダークウェブ上で売買されている93.7億件のクッキー(Cookie)が分析されました。その中には、まだ有効なままのログインセッションや、個人情報がぎっしり詰まったものも多数。今回の調査結果からは、企業にとっても見過ごせない「クッキーの裏側」が見えてきます。

1 クッキーはただの閲覧履歴ではない
2 93.7億件の「クッキー」が、闇市場で売られていた
3 犯人は、インフォスティーラー
4 「個人の問題」では済まされない、会社全体のリスク
5 対策
6 最後に：便利さの裏側を、少しだけ想像する

クッキーはただの閲覧履歴ではない

そもそもクッキーとは、サイトを訪れた証として、PCやスマホに残される小さなデータです。ログイン状態を維持してくれたり、カートに入れた商品を覚えていてくれたりと、便利な仕組みであることは間違いありません。

でも、その「便利さ」の裏側には、こんな顔ぶれがいます。

会員証がわりのクッキー（ファーストパーティ）: 今見ているサイトが発行する、比較的安全なもの。
あなたを追いかける付箋のようなクッキー（サードパーティ）: 広告会社などが貼り付け、あなたがどのサイトに行っても行動を追跡するためのもの。Googleの追跡広告など。
消しても蘇るゾンビクッキー（スーパー／ゾンビ）: 一度許可すると、なかなか消せない厄介な存在。

私たちは普段、こうした違いを意識することなく、まとめて「許可」してしまいがちです。その無防備さが、サイバー攻撃者にとっては格好の侵入口になっているのです。

93.7億件の「クッキー」が、闇市場で売られていた

NordStellarの調査で明らかになったのは、これらのクッキーの多くがマルウェアによって盗まれたものだという事実です。そして、もっと恐ろしいのはその中身です。

分析されたクッキーのうち、実に15億件以上が、今この瞬間も誰かのアカウントにログインできる「有効な」状態でした。

つまり、攻撃者がこのクッキーを手に入れれば、IDやパスワードを入力したり、面倒な二段階認証を突破したりすることなく、あなたのアカウントに「なりすまして」入れてしまうのです。まるで、本人が席を外したすきに、ログインしっぱなしのPCを操作するようなものです。

犯人は、インフォスティーラー

では、どうやってクッキーは盗まれるのでしょうか？主犯は「インフォスティーラー（情報窃取マルウェア）」と呼ばれる悪質なプログラムです。

Redline Stealer：最多で42億件を盗み出す。ただし有効率は6.2%
Vidar：10.5億件。やや高めの7.2%が有効
LummaC2：比較的新しいが急成長中。8.8億件、6.5%が有効
CryptBot：少数ながら高精度（1.4億件で83.4%がまだ使える）

聞き慣れない名前かもしれませんが、彼らの手口は実に巧妙です。怪しいメールの添付ファイル、無料だと思ってダウンロードした違法ソフト、ブラウザの便利な拡張機能などに化けて、あなたのPCに忍び込みます。

そして、あなたが気づかないうちに、ブラウザに保存されたクッキーをごっそりと盗み出していくのです。

特に、Google（約45億件）とMicrosoft（約10億件）のクッキーが、集中的に狙われていました。

なぜなら、この2つのアカウントは、他の多くのサービスにログインするための「マスターキー」の役割を果たしているからです。Googleアカウントのクッキー一つを盗めば、Gmailも、Googleドライブのファイルも、そして連携している他の無数のサービスまで、丸ごと乗っ取られる危険があるのです。

「個人の問題」では済まされない、会社全体のリスク

「クッキーが盗られて困るのは、個人のプライバシーだけでしょ？」もし会社のシステム担当者がそう考えていたら、事態は深刻です。

社員一人のクッキーが盗まれたことがきっかけで、会社の基幹システムに侵入され、顧客情報や機密データがごっそり盗まれる。あるいは、ランサムウェア攻撃の突破口にされてしまう。そんな悪夢のようなシナリオが、現実に起こりうるのです。

対策

では、私たちはこの見えない脅威にどう立ち向かえばいいのでしょうか。完璧な防御策はありませんが、リスクを大幅に下げるための習慣はあります。

「すべて同意」の思考停止をやめる: 少し面倒でも「設定」や「オプション」を開き、本当に必要なクッキーだけを許可する癖をつけましょう。
定期的な“掃除”を: ブラウザの閲覧履歴やクッキーは、定期的に削除する習慣を。特に、カフェの公衆Wi-Fiなど、普段と違う環境でログインした後は忘れずに。
信頼できる門番を置く: 優れたマルウェア対策ソフトやEDRは、怪しいサイトやファイルを未然にブロックしてくれます。
通信に鍵をかける (VPN): 公衆Wi-Fiを使う際は、VPN（仮想プライベートネットワーク）を使いましょう。通信全体が暗号化され、途中で情報を抜き取られるリスクを激減させます。