スパイウェアとは？種類・感染経路・被害事例と今すぐできる対策をわかりやすく解説

サイバー攻撃の手口は、この40年で大きく様変わりしました。1980年代のコンピュータウイルスは、画面に派手なメッセージを表示したりファイルを破壊したりと、攻撃者の技術力を誇示するものが中心でした。

ところが、インターネットが社会インフラとなり、あらゆる情報がデジタル化された今、攻撃者の目的は「目立つこと」から「気づかれないこと」に変わっています。現在の攻撃者は優秀なスパイのように気配を消し、標的のシステムにできるだけ長く潜んで、価値ある情報を持ち出し続けます。

この新しい脅威の代表格がスパイウェアです。名前のとおり標的を密かに監視し、情報を収集するために設計されたプログラムで、従来のウイルスのような目立った異常は起こしません。バックグラウンドで静かに動作しながら、キーボード入力の記録、画面キャプチャ、ファイルの持ち出し、通信内容の傍受など、多様な方法で情報を集めます。

本コラムでは、進化し続けるスパイウェアのしくみと対策を詳しく解説します。

スパイウェアとは

スパイウェアは、ユーザーの許可なくデバイスに侵入し、個人情報を収集・送信する不正プログラムです。コンピュータウイルスがシステムの破壊を狙うのに対し、スパイウェアは発見されずに活動を続けることに特化しています。

なお、スパイウェアには悪意のある使い方だけでなく、企業がマーケティング目的でユーザーの閲覧履歴などを収集するケースもあります。ただし一般にスパイウェアと呼ぶ場合は、ユーザーに無断で機密データを盗み出す悪質なものを指します。

コンピュータウイルスとの違い

スパイウェアもコンピュータウイルスもマルウェア（悪意のあるプログラム）の一種ですが、その振る舞いには明確な違いがあります。

コンピュータウイルスは、ファイルやシステムに寄生して自己増殖し、ほかのデバイスへ感染を広げることが特徴です。感染すると動作が遅くなったりファイルが破損したりと、比較的早い段階で異常に気づけます。

対照的にスパイウェアは、独立したプログラムとして存在し、自己増殖はしません。その代わり、ユーザーの行動を監視して情報を外部へ送信し続けます。目立った症状が出にくいため、感染に気づかないまま長期間にわたり被害を受けるケースが少なくありません。
また、スパイウェアは自己増殖を主な目的としませんが、実際の攻撃では自己複製・横展開の機能を併せ持つ複合型も存在します。

トラッキングCookieとスパイウェアの違い

Webサイトを閲覧すると「Cookieを受け入れますか？」というポップアップを目にする機会が増えました。トラッキングCookieはユーザーの閲覧行動を追跡して広告の最適化などに使われるため、スパイウェアと混同されがちです。

しかし両者は本質的に異なります。トラッキングCookieはブラウザの設定で無効化や削除ができ、動作も公開されています。一方、スパイウェアはシステム内に隠れて動作し、パスワードや金融情報などの機密データを無断で持ち出します。Cookieのプライバシーリスクに注意は必要ですが、スパイウェアとは危険度が大きく異なる点を覚えておきましょう。

主要なスパイウェアの種類と特徴

キーロガー

キーロガーは、キーボード入力を記録して攻撃者へ送信する悪質なスパイウェアです。主な狙いは、パスワードやクレジットカード番号、個人情報といった機密データの窃取にあります。正規のシステムプロセスを装って動作するため、一般ユーザーが見つけるのは非常に困難です。

キーロガーにはソフトウェア型とハードウェア型があります。ソフトウェア型はマルウェアとしてシステムに入り込み、キーボードドライバを監視して入力を記録します。ハードウェア型は物理デバイスとしてキーボードと端末の間に接続され、入力を直接記録します。企業を狙った攻撃では、内部関係者によってハードウェア型が設置されるケースも報告されています。

現代のキーロガーは単純な入力記録にとどまらず、画面のスクリーンショット撮影やクリップボード監視の機能も持ちます。収集データを暗号化して送信し、通信検知を回避するしくみも実装されています。特に危険なのはパスワードマネージャーのマスターパスワード窃取で、これにより保存された全パスワードへアクセスされてしまいます。

アドウェア

アドウェアは、ユーザーが意図しない広告を表示させることを主な目的とするスパイウェアです。当初は合法的な広告配信ツールでしたが、現在では個人情報収集や不正広告表示を行う悪質なものが増えています。ブラウザ設定を無断で変更したり、ツールバーを勝手にインストールしたりして、閲覧行動を追跡するのが特徴です。

アドウェアは通常、フリーウェアやシェアウェアに同梱される形で配布されます。ソフトウェアのインストール時に利用規約を十分確認しないことを利用し、同意を得た体裁で侵入します。感染すると、ブラウザのホームページ設定を変更したり検索エンジンを置き換えたりして、特定の広告ネットワークに誘導します。閲覧履歴や検索キーワードを収集し、ターゲティング広告の材料にすることも確認されています。

最近のアドウェアは、セキュリティソフトによる検知を回避するため、正規の広告配信サービスを装ったり、システムの重要プロセスに紛れ込む手法を使います。収集した個人情報をマーケティング会社に販売するビジネスモデルも存在し、プライバシー侵害の面で深刻な問題です。アドウェアの除去を試みるとシステムが不安定になったり、別のマルウェアがダウンロードされるケースも報告されています。

トロイの木馬

トロイの木馬は、正規ソフトウェアを装って侵入する危険なスパイウェアです。古代ギリシャの故事に名前が由来し、無害に見えるプログラムの中に悪意あるコードが潜んでいます。もっとも危険な点は、ユーザー自身が自らの手でインストールしてしまうことです。

トロイの木馬は一般に、人気ソフトウェアの偽バージョンやフリーソフトとして配布されます。メールの添付ファイルや偽装ウェブサイトからのダウンロードで拡散するパターンも多く見られます。初期段階では正常なソフトウェアとして動作してユーザーの警戒を解きますが、バックグラウンドではセキュリティ設定の変更やバックドアの作成を行い、追加マルウェアのダウンロード準備を進めます。

最新のトロイの木馬は、高度な偽装技術を備えています。デジタル署名の偽造や正規アップデートサーバーへのなりすましで、セキュリティチェックをすり抜けます。セキュリティソフトやデバッガーの存在を検知すると動作を変更・停止する機能も実装されています。被害を受けたシステムがボットネットの一部として悪用されたり、ランサムウェアの侵入口として利用されたりする可能性もあります。

リモートアクセスツール（RAT）

リモートアクセスツール（RAT）は、感染したデバイスを遠隔からフルコントロールできる、きわめて強力なスパイウェアです。もともとは企業のIT管理者がシステム保守やトラブルシューティングに使う正規ツールでしたが、その強力な機能を転用した不正バージョンが、サイバー攻撃の重要な道具になっています。

RATがもっとも危険な理由は、攻撃者にターゲットデバイスへの全操作権を与える点です。キーボード・マウスの制御、画面監視、ファイルシステムへのアクセス、カメラやマイクの遠隔起動など、あらゆる操作が可能になります。さらに、多くのRATは複数の感染デバイスを同時に操作でき、大規模なボットネットの構築にも利用されます。攻撃者は感染デバイスを踏み台にして、さらなる攻撃を仕掛けることもあります。

最新のRATは高度な隠蔽機能を備えています。正規システムプロセスへの偽装や通信の暗号化で、セキュリティソフトの検知を回避します。仮想環境や解析ツールの存在を検知すると動作を変更・停止する機能も実装されており、特に企業を標的とした攻撃では、特定の環境に最適化されたカスタムRATが使われることがあります。

ブラウザハイジャッカー

ブラウザハイジャッカーは、ウェブブラウザの設定を強制的に書き換え、ユーザーのオンライン行動を操作するスパイウェアです。主な攻撃対象はブラウザのホームページ設定、デフォルト検索エンジン、セキュリティ設定です。感染すると、意図しないウェブサイトへ強制リダイレクトされたり、不正な検索結果が表示されるようになります。

このスパイウェアの特徴は、ブラウザの正常な機能を妨害しながら、変更を永続化させるしくみを持つ点です。ユーザーが手動で設定を元に戻しても、システム再起動時に再度不正な設定が適用されます。多くのブラウザハイジャッカーはブラウザの拡張機能やアドオンとして動作し、正規の機能追加を装ってユーザーの目をすり抜けます。感染経路としては、フリーソフトウェアへのバンドルやドライバーアップデートを装ったインストーラーがよく使われます。

最近のブラウザハイジャッカーは、設定の書き換えだけでなく、より悪質な動作も確認されています。オンラインバンキングやショッピングサイトでの入力データの傍受、広告クリック詐欺の実行などがその例です。ブラウザの証明書設定を改ざんしてHTTPS通信に中間者攻撃を仕掛けるケースも報告されています。除去が難しい理由の一つは、複数のコンポーネントが連携して動作し、一つを削除してもほかが再インストールを行う構造になっていることです。

ストーカーウェア・インフォスティーラー

近年、特に問題視されているのがストーカーウェアとインフォスティーラーです。

ストーカーウェアは、特定の個人を監視する目的で作られたスパイウェアです。「子どものスマホ見守りアプリ」などを名目に開発・販売されているものが多く、位置情報の追跡、通話の傍受、メッセージの閲覧、カメラの遠隔起動といった機能を備えています。DV（家庭内暴力）やストーキングの加害者が悪用するケースが報告されており、被害者の安全を直接脅かす深刻な問題です。

インフォスティーラーは、ブラウザに保存されたパスワードやCookie、メール、ドキュメント、カメラロールの画像まで、端末上のあらゆる情報を丸ごと取得するマルウェアです。サイバー犯罪の現場で頻繁に使われており、窃取されたデータはダークウェブ上で売買されることもあります。

トロイの木馬とスパイウェアの違い

トロイの木馬とスパイウェアの違いは、主に目的と動作にあります。トロイの木馬は正当なソフトウェアを装い、実際には悪意あるコードを実行するマルウェアです。ユーザーが自ら起動するまで待機し、実行されるとバックドアの作成やデータ破壊などさまざまな攻撃を行います。

一方のスパイウェアは、主にユーザーの監視と情報収集を目的としています。密かにインストールされ、ユーザーが気づかないうちに個人情報や閲覧履歴、キーストロークなどを記録して第三者に送信します。トロイの木馬が直接的な破壊活動を行うのに対し、スパイウェアは静かに監視活動を続けるという違いがあります。

感染経路と症状

主な感染経路

Webサイト経由

不審なウェブサイトへのアクセスは、スパイウェア感染の主要経路の一つです。特に、海賊版ソフトウェアやアダルトコンテンツを扱うサイトは高リスクとされています。こうしたサイトでは、ドライブバイダウンロードという手法で、ユーザーが気づかないうちにスパイウェアをインストールさせることがあります。

アプリケーション経由

信頼できないアプリのインストールも大きなリスクをはらんでいます。公式アプリストア以外からダウンロードしたアプリケーションは、正規アプリに見せかけたスパイウェアの可能性があります。特に、無料で提供される人気アプリの模倣版には注意が必要です。

フィッシング・標的型メール

フィッシングメールの添付ファイルは、組織を標的とした攻撃でよく使われる感染経路です。業務連絡を装った巧妙なメールに添付されたファイルを開くことで、スパイウェアに感染してしまいます。実在する取引先になりすましたビジネスメール詐欺も増加傾向にあります。

外部記憶媒体

USBメモリなどの外部媒体を介した感染も依然として見られます。特に、拾得したUSBメモリや出所不明の媒体を接続するのは非常に危険です。スパイウェアは外部媒体内に潜み、接続と同時に自動的にインストールされる場合があります。

ソーシャルエンジニアリング

技術的な手法だけでなく、人間の心理を突く手口も感染経路として無視できません。「ウイルスに感染しています」といった偽のセキュリティ警告を表示し、ユーザー自身に"駆除ツール"を装ったスパイウェアをインストールさせるパターンがその典型です。また、同僚や近親者など内部の関係者がデバイスに直接スパイウェアを仕込むケースも報告されています。

典型的な症状

デバイスの動作が著しく遅くなる現象は、スパイウェア感染を示す代表的な症状です。これは、スパイウェアがバックグラウンドで常時動作し、システムリソースを消費しているためです。特に起動時の遅延が顕著になることが多いでしょう。

バッテリーの消耗が早くなる症状も要注意です。スパイウェアは継続的にデータを収集・送信するため、通常以上に電力を消費します。スマートフォンのバッテリー持続時間が急に短くなった場合は、スパイウェア感染を疑ってみてください。

見覚えのないプログラムが起動している場合も、感染のサインです。タスクマネージャーやアクティビティモニタで、普段見かけない不審なプロセスが動いていないか確認しましょう。

インターネット通信量の急増も見逃せない警告です。スパイウェアは収集した情報を定期的に外部サーバーに送信するため、通常より多くの通信が発生します。特に、デバイスを使っていない時間帯に通信が発生している場合は注意が必要です。

ただし、最新のスパイウェアはこうした症状を巧妙に隠す傾向があり、目に見える兆候だけに頼るのではなく、セキュリティツールによる定期的な検査が欠かせません。

スパイウェアによる被害

個人への影響

クレジットカード情報の窃取

クレジットカード情報の窃取は、スパイウェアによる被害の中でも特に深刻です。キーロガー型スパイウェアによって記録されたカード番号や暗証番号は、オンラインショッピングの不正利用や現金の引き出しに悪用されます。被害に気づいた時点で、すでに多額の損害が発生しているケースも少なくありません。

オンラインバンキングのアカウント情報窃取

オンラインバンキングの認証情報の漏洩も重大な問題です。インターネットバンキングのIDやパスワード、ワンタイムパスワードの入力が記録され、預金が不正に引き出されるリスクがあります。近年では、二要素認証をリアルタイムで突破する高度なスパイウェアも出現しており、いっそうの警戒が必要です。

オンラインサービスのアカウント情報窃取

SNSアカウントの乗っ取りは、金銭的被害にとどまらず社会的信用にも影響を及ぼします。乗っ取られたアカウントから友人や知人を狙った詐欺が行われたり、不適切な投稿で本人の評判が傷つくことがあります。プライベートなメッセージが流出するリスクも見過ごせません。

プライバシーの侵害は被害者に大きな精神的苦痛をもたらします。スマートフォンに保存された写真や個人的なメッセージが盗まれ、インターネット上に流出する被害も報告されています。特にストーカーウェアによる位置情報の追跡は、被害者の身体的安全を直接脅かす問題です。

企業における被害

機密情報の流出

機密情報の流出は、企業にとって致命的な打撃になりかねません。製品の設計図、価格戦略、顧客リストなどの企業秘密が競合他社に渡れば、市場での競争力を大きく損なう可能性があります。特に研究開発部門や経営企画部門が狙われることが多く、知的財産の窃取は企業の競争力に直結します。特許出願前の発明情報や、ノウハウとして秘匿している製造技術などが流出すると、模倣品の製造や特許の先取りにより、本来得られるはずの利益を失うことになります。

取引先情報の漏えい

取引先情報の漏洩は、企業間の信頼関係を損なう重大な問題です。取引先の機密情報を預かっている企業がスパイウェアに感染した場合、影響は取引先にも波及します。情報管理の不備を理由に取引を打ち切られるなど、ビジネス上の損失へ発展することもあります。

対策方法

予防的な対策

信頼できるセキュリティソフトの導入と定期的な更新は、スパイウェア対策の基本です。インストールするだけでなく、ウイルス定義ファイルを最新状態に保ち、定期的なスキャンを実行しましょう。企業においては、一元管理された統合セキュリティソリューションの導入を検討する価値があります。

OSやアプリケーションのアップデートも重要な予防策です。ソフトウェアの更新には、新たに発見されたセキュリティ脆弱性への修正が含まれています。アップデートを後回しにすると、既知の脆弱性を突く攻撃に対して無防備な状態が続きます。

不審なウェブサイトやメールを開かないという基本動作も、引き続き有効な対策です。URLが少し異なる偽装サイトや、差出人が偽装されたフィッシングメールは、見分けがつきにくい場合もあります。少しでも違和感を覚えたら安易にクリックせず、別の手段で確認する習慣をつけましょう。

アプリのインストールは公式ストアのみに限定するルールも効果的です。特に業務用デバイスでは、システム管理者が承認したアプリケーションだけをインストールする運用方針を確立することが望ましいでしょう。

加えて、企業のセキュリティ対策では従来の「侵入を防ぐ」対策だけでなく、「侵入された後にいかに早く検知・対処するか」という視点が重要になっています。EDR（Endpoint Detection and Response）は、端末上の不審な動きをリアルタイムで監視し、スパイウェアを含むマルウェアの検知から隔離・復旧までを迅速に行えるソリューションです。従来のアンチウイルスだけでは捕捉しにくいファイルレスマルウェアや未知の脅威にも対応しやすく、SOC（セキュリティオペレーションセンター）を持たない中小企業でも導入が進んでいます。

感染時の対処

スパイウェアに感染した際の対処手順を、時系列で説明します。

最初に行うべきはネットワーク接続の遮断です。有線LANケーブルの切断、Wi-Fiの無効化、機内モードの有効化などを直ちに実施してください。これにより、スパイウェアによる情報の外部送信を止め、被害の拡大を防ぎます。

次に、セーフモードでシステムを起動します。セーフモードではスパイウェアの活動が制限され、通常起動時に常駐するスパイウェアがメモリに読み込まれにくくなるため、削除作業がしやすくなります。
ただし、最近のマルウェアにはセーフモード耐性やファイルレス型もあるため、セーフモードでの削除が万能とは限りません。

続いて、セキュリティソフトによるフルスキャンを実施します。スキャン前に、セキュリティソフト自体が最新状態に更新されていることを確認してください。

最終手段として、システムの初期化も選択肢に入ります。初期化を行う場合は、あらかじめ重要データのバックアップを取ったうえで、工場出荷時の状態に戻します。ただし、バックアップデータにスパイウェアが混入している可能性もあるため、復元時には十分注意してください。

企業環境では、これらの対処に加えて、EDRの導入が感染時の対応力を大きく高めます。EDRはスパイウェアの検知から端末の隔離、影響範囲のロールバックまでを自動化できるため、被害の最小化とシステムの早期復旧に役立ちます。

スパイウェアに関するよくある質問

まとめ