マルウェアとは？対策も含めて解説|セキュリティ用語の解説-セキュリティ対策 Lab

投稿日時: 2025年07月04日更新日時: 2026年08月02日

AV-TESTのマルウェアデータベースは2025年3月時点で15億6,000万件のサンプルを超え、毎日45万〜56万種類の新しいサンプルが追加されています。マルウェア（malicious software）は今や「特定の攻撃手法」ではなく、現代のサイバー攻撃全体を支える「基盤技術」です。

本記事ではランサムウェアの詳細については別記事で詳しく解説しているため、ここではそれ以外のマルウェアの種類——インフォスティーラー・ウィパー・ボットネット・サプライチェーンマルウェアなどに焦点を当てます。CISAとFBIの共同アドバイザリ、英国国家サイバーセキュリティセンター（NCSC）の年次レビュー、Verizon DBIRなどの公的・権威ある調査をもとに、「ランサムウェアの一歩前」で何が起きているかを整理します。

マルウェアの概要と規模感のサマリー

AV-TESTのマルウェアデータベース：2025年3月時点で15億6,000万件超。毎日45〜56万種類の新種が追加
Flashpoint調査：インフォスティーラーが2025年上半期だけで18億件の認証情報を窃取（前期比800%増）。5,800万台の感染デバイスから収集
DeepStrike 2025解析：侵害事例の86%に窃取された認証情報が関与
Verizon DBIR 2025：ランサムウェア被害組織ドメインの54%が、攻撃前にインフォスティーラーのログに出現
CrowdStrike：2025年H1のインシデントの81%は「マルウェアを使わない」有効な認証情報の悪用やLiving-off-the-Landで実現
UK NCSC年次レビュー2025：支援が必要なインシデント429件。うち「国家的に重大」なインシデントが204件（前年89件から2倍超）
法執行機関のOperation Endgame（2026年6月）：インフォスティーラーStealCが2025年7月〜2026年6月の1年間で窃取した認証情報3,000万件を押収

整理表——マルウェアの主要な種類

種類	主な目的	代表的なファミリー	注目すべき特徴
インフォスティーラー	認証情報・クッキー・暗号資産の窃取	Lumma、Vidar、RedLine、StealC、Raccoon	86%の侵害に関与。ランサムウェアの前段
ウィパー	データ永久破壊・業務停止	HermeticWiper、CaddyWiper、WhisperGate、Shamoon	国家支援型が多い。金銭目的ではなく破壊目的
バックドア	持続的な遠隔アクセスの確保	Cobalt Strike Beacon、PlugX、Authentic Antics	感染後の「足場」として機能。平均潜伏11日
ボットネット	DDoS・スパム送信・中継基盤として利用	Flax Typhoon（26万台）、Emotet（解体済み）、QakBot	国家支援型も使用。インフラへの第一歩
スパイウェア	持続的な監視・情報収集	Pegasus、Triton/Trisis（ICS専用）	政府・ジャーナリストや重要インフラが標的
ローダー	他のマルウェアを「運ぶ」役割	SocGholish、GootLoader、BazarLoader	初期侵入後に本命のマルウェアを展開
ランサムウェア	ファイル暗号化・身代金要求	（別記事で詳述）	インフォスティーラー経由が54%。RaaSで分業

マルウェアとランサムウェアの「前後関係」を理解する

情報システム部門の担当者がマルウェアとランサムウェアを別々の問題として捉えている場合、現実の攻撃の連鎖から乖離している可能性があります。

Verizon DBIR 2025の分析では、ランサムウェア被害を受けた組織のドメインのうち54%が、攻撃が発覚する前にインフォスティーラーのダークウェブログに出現していたことが確認されています。つまりランサムウェア攻撃の過半数において、攻撃者が最初に使ったのは「インフォスティーラーで先に盗んでいた認証情報」でした。

攻撃の典型的な連鎖は次のとおりです。インフォスティーラーが社員のPCに感染してVPNや社内システムの認証情報を窃取します。窃取された認証情報はダークウェブで売買され、IAB（初期アクセスブローカー）が購入します。IABは内部ネットワークへのアクセスをランサムウェアグループへ転売します。ランサムウェアが展開される頃には、攻撃者はすでに数週間〜数か月間、正規ユーザーとして潜伏しています。

ランサムウェアの詳細な仕組み・被害事例・対応策はランサムウェアとは——仕組み・被害事例・対策を情報システム担当者向けに解説で詳しく説明していますが、本記事が扱うのはその「前段階」を支えるマルウェアの全体像です。

主要トレンド①：インフォスティーラー——「認証情報経済」の主役

**CISA・FBIの共同アドバイザリ（AA25-141B）**は、インフォスティーラー「LummaC2」に関して「米国の複数の重要インフラセクターにわたる脆弱な個人・組織のネットワークへの脅威」と位置づけ、2025年5月時点での活発な活動を警告しています。Microsoftは2025年5月、LummaC2の394,000件の感染をシンクホール作戦で対処しましたが、その後もファミリーとして活動が継続しています。

インフォスティーラーが現代の脅威の中心にある理由は、その「静粛性」と「汎用性」にあります。感染してもユーザーに明らかな挙動の変化が起きないため、気づかれないまま長期間にわたって認証情報・セッションクッキー・暗号資産ウォレット・ブラウザの保存パスワードを継続的に吸い上げます。IBM X-Forceの2025年調査では、インフォスティーラーのフィッシング経由での流通が前年比84%増加しています。

ネットワークエンジニアとしての経験から言えば、「パスワードを変更した」だけでは対策として不十分になっています。セッションクッキーはパスワード変更後も有効なケースがあり、MFA（多要素認証）をかいくぐる手段として悪用されます。認証情報の漏洩を前提とした検知・対応の仕組みが必要になっています。

**Operation Endgame（2026年6月）**では、インフォスティーラーStealCと、マルウェア・アズ・ア・サービス（MaaS）型のAmadeyが国際法執行機関によって摘発されました。StealCが2025年7月から2026年6月の1年間で窃取した認証情報は約3,000万件とされており、法執行機関がそのデータセットを押収して被害組織の特定に活用しています。

主要トレンド②：ウィパーマルウェア——「破壊を目的とする」国家支援型の脅威

インフォスティーラーが「情報を盗む」のに対し、ウィパー（Wiper）は「システムとデータを永久に破壊する」ことを目的とします。身代金要求がなく、回復の可能性を意図的に遮断するため、被害組織にとっては最も深刻な種類のマルウェアの一つです。

英国NCSC年次レビュー2025は、ロシアに帰属する「Authentic Antics」マルウェアを名指しで言及し、「被害者のログイン情報とトークンを窃取し、メールアカウントへの長期的なアクセスを可能にする」と説明しています。同レビューでは「ロシアは引き続き有能かつ無責任な脅威アクターとして機能しており、その最も破壊的な活動はウクライナを中心に展開されている」と明記されています。

ウクライナ侵攻以降、HermeticWiper・CaddyWiper・WhisperGateなど多数のウィパーが実戦投入されました。これらは単に「消す」だけでなく、マスターブートレコード（MBR）を破壊して起動不能にする、ファイルシステムを上書きしてから偽のランサムウェア画面を表示する（WhisperGate）など、復旧を妨げる設計が施されています。

重要インフラに特化したウィパーとして注目されるのが「Triton/Trisis」です。石油化学プラントの安全計装システム（SIS）を標的にした世界初のマルウェアとされており、システムの緊急停止機能そのものを無効化することで物理的な事故を引き起こす可能性があります。CISA・NCSCともにこのカテゴリの脅威を「Destructive Malware」として分類し、重要インフラへの適用が現実のリスクであると警告しています。

主要トレンド③：ボットネットと「マルウェアを使わない侵入」

**CISA・NCSC-UK共同アドバイザリ（2026年4月29日）**は、中国ベースのサイバー犯罪シンジケートが構築する「隠蔽型ボットネット」の台頭を警告しています。VoltTyphoon・Flax Typhoonといった脅威アクターが、個人用・業務用デバイスを大量に感染させて構築した26万台超のボットネットを、政府や重要インフラへの攻撃の中継基盤として利用しているとしています。

これらのボットネットには現代の特徴的な変化があります。従来のボットネットは犯罪グループが自前でインフラを管理していましたが、中国系の活動では「中国の情報セキュリティ企業が専門的に管理する大規模ネットワーク」として運営されており、追跡が困難になっています。

もう一つの重要なトレンドがCrowdStrikeの報告する「マルウェアなし侵入（Malware-Free Intrusion）」の増加です。2025年H1のインシデントの81%において、攻撃者はマルウェアのファイルをシステムに置かず、有効な認証情報の悪用・RDP・PowerShell・WMIなどOSに標準搭載されている管理ツールを使って侵入しています。これはLiving-off-the-Land（環境寄生型）と呼ばれる手法で、ファイルベースのマルウェアスキャンでは検知できません。EDRとアンチウイルスの違いで解説しているように、この手口への対処にはEDRの行動監視が不可欠です。

主要トレンド④：サプライチェーンマルウェアとAIの悪用

2020年のSolarWinds事案以降、ソフトウェアのサプライチェーンへのマルウェア仕込みが戦略的な攻撃手法として確立しています。ビルド環境・ライブラリ・モデル・コーディングエージェントが読み込む設定ファイルに悪意ある変更を施すことで、正規のソフトウェアアップデートを経由して何万もの組織に一括して配布できます。

IBM Cost of Data Breach Report 2025によると、侵害事例の6件に1件で攻撃者がAIを活用しており、最も多い用途はフィッシング（37%）とディープフェイクなりすまし（35%）です。Microsoft Digital Defense Report 2025は、攻撃者がAIを使ったソーシャルエンジニアリングの大規模化・自動化したラテラルムーブメント・脆弱性発見への活用を記録しています。

UK NCSC 2025年次レビューは「マルウェア・アズ・ア・サービスやDIYサイバー犯罪の台頭がハッキングを民主化した。もはや高度なコーディングスキルや実際のマルウェアの仕組みの知識は必要ない」と指摘し、この傾向が今後5年間で加速すると予測しています。

日本の状況——警察庁が示す国内のマルウェア脅威

警察庁の2025年上半期サイバー情勢によると、ランサムウェア被害は116件（過去最多タイ）で、侵入経路の大半はVPN機器やリモートデスクトップを経由した初期侵入でした。JPCERT/CCは国内でのEmotet再流行・Qakbot派生型の活動・標的型攻撃メールによるバックドアの設置を継続的に観測しています。

日本特有のリスク要素として、インターネットに接続された旧来のOA機器やFAXサーバーが残存している製造・医療・公共セクターへの攻撃が増加しています。また、KDDIのISPメールシステムへの不正アクセス事案に見られるように、正規のメールインフラが窃取の起点になるケースも国内で現実の問題になっています。

JPCERT/CCが公開しているインシデント対応状況によると、マルウェア感染の主な原因は「メール経由の悪意あるファイル」（バックドア設置・情報窃取型）と「脆弱なVPN機器経由の直接侵入」の2系統が中心です。

企業が取るべき対策——「マルウェアが届く前」と「届いた後」の両方を設計する

現代のマルウェア対策は、シグネチャベースの検知だけでは不十分です。以下は優先度順の実践的な対策です。

① 認証情報管理の強化——インフォスティーラーが侵害の入口となっている現状を踏まえ、フィッシング耐性を持つMFA（FIDO2/パスキー）の導入が最優先です。セッションクッキーの盗難に対してはセッション有効期間の短縮とデバイスバインドセッション（Device Bound Session Credentials）の活用が有効です。

② 行動監視型の検知（EDR）の整備——ファイルを持ち込まないLiving-off-the-Landの侵入を検知するためには、プロセスの親子関係・PowerShellの実行ログ・RDPの接続履歴などの行動テレメトリが必要です。シグネチャ検知のみのアンチウイルスではこの81%のインシデントには対応できません。CISAは「パッチが当たっていない脆弱性」への対処として既知の悪用済み脆弱性カタログ（KEV）の活用を推奨しています。

③ サプライチェーンの検証——利用しているソフトウェア・ライブラリ・ビルドパイプラインについて、依存関係の可視化（SBOM: Software Bill of Materials）と定期的な整合性確認を導入します。NCSC-UKの「Supply Chain Security Guidance」は具体的な確認項目を提供しています。

④ インシデント対応計画（IRP）の整備——Mandiantの調査では2024年の世界平均の侵害検知までのドウェルタイムが11日であり、その間攻撃者はバックドアの設置・偵察・権限昇格を進めています。侵入が前提となる時代において「気づいてからどう止めるか」の手順が整っていることが被害規模を決定的に左右します。

⑤ 従業員向けのマルウェア認識訓練——NCSC-UKのガイドラインでは、ソーシャルエンジニアリングへの耐性訓練・不審なファイルの報告フローの明確化・訓練結果のKPI化を推奨しています。技術的な対策と人的な対策は相互補完の関係にあり、どちらかだけでは機能しません。