「パスワードを変えてもまだ危ない」 Cookie盗難524億件超え、必要な“もう一つ”の対策：NordVPNが盗難データを分析

NordVPNは、情報窃取型マルウェアによるCookie流出の調査結果を発表した。世界で524億件超、日本国内でも約1.89億件の流出を確認。認証Cookieが盗まれると、パスワードやMFAを回避してアカウントを悪用される恐れがあり、注意が必要だ。

[＠IT]

　VPNサービスを提供するNordVPNは2026年8月13日、情報窃取型マルウェアによって盗まれたデータの分析結果を公開した。2025年6月9日〜2026年6月8日の1年間に、世界で524億件を超えるCookieのデータが盗まれていたことを確認したという。単純計算すると、1秒当たり1600件以上に上る。

　日本に関連するCookieも約1億8897万件確認された。盗まれたCookieの件数は、パスワードや決済カード情報など、Cookie以外の盗難データを全て合わせた件数の約4.6倍に達した。

NordVPNが情報窃取型マルウェアによるデータ流出の分析結果を公開（提供：NordVPN）《クリックで拡大》

　Cookieの中には、Webサービスへのログイン状態を維持するために使われるものもある。こうしたCookieが盗まれると、攻撃者がパスワードやMFA（多要素認証）による認証を経ずに、正規ユーザーの「ログイン済みの状態」を悪用できる場合がある。

攻撃者が狙う「ログイン済みの状態」――対策は？

　NordVPNは、攻撃者の標的がパスワードなどの認証情報だけでなく、認証後のセッションにも広がっていると指摘している。

　今回の分析では524億件のCookieデータが盗まれたことが確認された他、オートフィル情報やファイル、認証情報、パスワード、メールアドレス、決済カード情報など、Cookie以外の盗難データも合計約114億件が盗まれたことが確認された。

　Cookieは、Webサイトの設定やログイン状態などを保存するために使われる。中でも、ログイン状態を維持するためのCookieが盗まれると、攻撃者がそのCookieを悪用し、パスワードやMFAによる認証を経ずに、正規ユーザーとしてサービスにアクセスできる場合がある。こうした攻撃は「セッションハイジャック」と呼ばれる。

窃取されたデータ種別の内訳（提供：NordVPN）《クリックで拡大》

上位100ドメインでは約5件に1件のCookieが有効状態を維持

　情報窃取型マルウェアによるCookieの窃取は、世界250以上の国・地域で確認された。国・地域別では、インド、ブラジル、インドネシアなどで特に多く確認された。日本に関連するCookieレコードも約1億8897万件に上り、国・地域別では43位だった。日本でも大規模なCookieの窃取が確認されている。

　窃取されたCookieをドメイン別に見ると、検索エンジン「Google」が約5億4052万件で最も多く、動画配信プラットフォーム「YouTube」が約3億2157万件、検索エンジン「Bing」が約2億1506万件と続いた。この他、Microsoft、Facebook、Twitch、TikTok、PayPalなど、広く利用されているWebサービスに関連するCookieも多数確認された。

　Cookieレコード数の上位100ドメイン（全分析対象の約51.2％）では、分析時点でも約5件に1件のCookieが有効な状態だった。こうした場合、パスワードを変更するだけでは対策として不十分なことがある。Cookieの窃取が疑われる場合は、パスワードの変更に加えて、全ての端末からログアウトするなどして既存のセッションを無効化する必要がある。

主要ドメイン別のCookieレコード件数と有効率（提供：NordVPN）《クリックで拡大》

　NordVPNの社内データによると、マルウェアに感染した端末の96.3％では、「Microsoft Defender」などのセキュリティ対策ソフトウェアが稼働していたという。導入していても、情報窃取型マルウェアへの感染を完全に防げるわけではないことがうかがえる。

　同社のCTO（最高技術責任者）を務めるマリユス・ブリエディス氏は、「サイバー犯罪者が狙っているのは、もはやパスワードだけではない。ログイン状態を保持するCookieは、すでに認証を済ませたアカウントへアクセスするための“デジタルの鍵”として悪用される可能性がある」と注意を促す。

推奨される5つの対策

　NordVPNは被害を抑える対策として以下の5点を挙げている。

1. 使っていないサービスからログアウトする
   • 長期間利用していないWebサービスにログインしたまま放置せず、不要なアカウントは整理する
2. 不審なアクセスがあった場合は全端末からログアウトする
   • 身に覚えのないログイン通知などがあった場合は、パスワードを変更するとともに、全ての端末からログアウトして既存のセッションを無効化する
3. ブラウザやOS、拡張機能を最新の状態に保つ
   • 不要な拡張機能を削除し、ブラウザやOSなどのアップデートを適用する
4. 不審なリンクや非公式サイトからのダウンロードを避ける
   • 無料版や先行アクセスなどをうたう非公式サイトを避け、正規サイトや公式ストアを利用する
5. 流出検知ツールやセキュリティ機能を活用する
   • 認証情報が流出していないかどうかを確認できる機能やセキュリティツールを活用する