Written by WizLANSCOPE編集部
目 次
Lumma Stealerは、現在広く使われている、情報を盗み出すことに特化したマルウェア（インフォスティーラー）の一種です。
ID・パスワードなどの認証情報だけでなく、ブラウザに保存されたCookieも窃取するため、多要素認証を設定していても不正アクセスにつながる可能性があります。
万が一悪用されると、情報漏洩や不正アクセス、企業ネットワークへの侵入だけでなく、ランサムウェア攻撃やサプライチェーン攻撃など、より深刻な被害へ発展するケースもあります。
本記事では、Lumma Stealerの感染経路や感染時に見られる兆候、具体的な対策などを解説します。
▼本記事でわかること
- Lumma Stealerの概要
- Lumma Stealerの感染経路
- Lumma Stealer感染時の兆候
- Lumma Stealerへの対策
「Lumma Stealerとは何か」「どのような対策が有効なのか」などを知りたい方はぜひご一読ください。
Lumma Stealerとは
Lumma Stealerとは、ID・パスワードやCookie、クレジットカード情報などの窃取を目的とした、情報窃取型マルウェア（インフォスティーラー）の一種です。
インフォスティーラーとは、感染したデバイスから認証情報やCookie、クレジットカード情報などを盗み出すことに特化したマルウェアを指します。
Lumma Stealerは主にWindowsを標的としており、2022年頃から活動が急速に拡大しました。
また、犯罪者向けにMaaS（Malware as a Service）として提供されているため、専門的な知識がなくても攻撃を実行しやすく、被害が世界的に拡大しています。
現在も攻撃者による利用は続いており、2025年にはMicrosoftが、世界各地で多数のWindowsデバイスへの感染を確認したことを公表しています。
Lumma Stealerが盗むもの
Lumma Stealerは、感染したデバイス内に保存されているさまざまな情報を窃取します。
主な窃取対象は以下のとおりです。
- Webブラウザに保存されたID・パスワード
- Cookie
- クレジットカード情報
- 暗号資産ウォレット情報
- メールアカウント情報
- デバイス内の文書ファイルや画像ファイル
- システム情報やインストール済みアプリケーション情報
Lumma Stealerは、ID・パスワードだけでなく、ブラウザに保存されたCookieも窃取する点に注意が必要です。
Cookieにはログイン状態を維持するためのセッション情報が含まれる場合があります。
そのため、Cookieが窃取・悪用されると、多要素認証（MFA）を有効化していても、不正アクセスにつながる恐れがあります。
その結果、非公開の個人情報の閲覧や登録情報の改ざんなど、本来はログイン済みのユーザーだけが実行できる操作が行われる可能性があります。
Lumma Stealerの主な感染経路
Lumma Stealerの主な感染経路として、以下が挙げられます。
- メールの添付ファイルやリンク
- 偽装されたソフトウェア
- 改ざんされた正規サイト
- 偽CAPTCHA
適切な対策を講じるためにも、どのような経路で感染するのかを把握しておきましょう。
メールの添付ファイルやリンク
有名企業や公的機関などを装ったメールに添付されたファイルを安易に開くと、Lumma Stealerに感染する恐れがあります。
また、メールに記載されたリンクをクリックした結果、不正なWebサイトへ誘導され、そのサイトを経由してLumma Stealerに感染するケースも確認されています。
偽装されたソフトウェア
Lumma Stealerは、ソフトウェアや業務ツール、ブラウザ拡張機能などを装って配布されるケースも報告されています。
特に、非公式サイトやファイル共有サイト、海賊版ソフトウェアの配布サイトなどからダウンロードしたプログラムには注意が必要です。
Lumma Stealerが仕込まれたソフトウェアをインストールすると、気付かないうちに認証情報や個人情報などが窃取される恐れがあります。
改ざんされた正規サイト
Lumma Stealerは、正規のWebサイトが改ざんされ、そのサイトを訪れたユーザーが感染するケースもあります。
ユーザーは正規サイトへアクセスしているつもりでも、改ざんされた更新通知やダウンロードボタンをクリックすることで、Lumma Stealerに感染する恐れがあります。
偽CAPTCHA
近年、特に増加しているのが、偽CAPTCHAを悪用した感染手法です。
攻撃者は「私はロボットではありません」などの認証画面を装い、ユーザーに特定の操作を促します。
例えば、「Windowsキー＋Rを押す」「表示された内容をコピー＆ペーストする」といった操作を指示し、PowerShellなどを通じてLumma Stealerをダウンロード・実行させます。
ユーザーにこうした操作を促してマルウェアを実行させる攻撃手法は、「ClickFix（クリックフィックス）」と呼ばれています。
Lumma Stealerの攻撃の流れ
ここでは、近年増加している偽CAPTCHAを悪用したLumma Stealerの攻撃の流れを紹介します。
攻撃は、以下のような流れで進行します。
- フィッシングメールなどでユーザーをフィッシングサイトへ誘導する
- 「私はロボットではありません」などの偽CAPTCHAを表示し、ユーザーに認証操作を行わせる
- 「コピー＆ペースト」などの操作を指示し、悪意のあるコマンドを実行させる
- Lumma Stealerがダウンロード・実行される
- Lumma Stealerがデバイス内の情報を窃取し、C＆Cサーバーへ送信する
まず攻撃者は、ユーザーにフィッシングメールなどを送り付け、ユーザーをフィッシングサイトへ誘導します。
ユーザーがメール内のリンクをクリックしてフィッシングサイトにアクセスすると、「私はロボットではありません」などの偽CAPTCHAが表示されます。
ユーザーが認証を実行すると「認証に失敗しました。代替手段で認証してください」といったメッセージが表示され、「Windowsキー+Rキー」や「Controlキー+Vキー」などの操作を実施するよう促されます。
ユーザーが指示どおりに操作すると、PowerShellなどを利用した悪意のあるコマンドが実行され、Lumma Stealerがダウンロード・実行されます。
その後、Lumma Stealerは、ブラウザに保存されたID・パスワードやCookie、クレジットカード情報、暗号資産ウォレット情報、各種ファイルなどを収集・窃取します。
窃取された情報は、攻撃者が管理するC&C（Command and Control）サーバーへ送信され、不正ログインや金銭窃取、さらには追加のマルウェア感染などの攻撃に悪用される恐れがあります。
関連ページ
Lumma Stealerが企業に与えるリスク
Lumma Stealerは、情報窃取に特化したマルウェアです。
厄介なのは、窃取した情報が、その後の侵害活動の足がかりとして悪用される点です。
例えば、ID・パスワードやCookieが窃取されると、攻撃者は正規ユーザーになりすまして各種サービスへ不正アクセスできる可能性があります。
特にクラウドサービスやメール、グループウェアなどのアカウントが乗っ取られた場合、社内情報の閲覧や追加の攻撃を実行される恐れがあります。
また、Cookieが窃取・悪用されると、多要素認証（MFA）を導入していても不正アクセスを許してしまうケースがあります。
さらに、窃取した認証情報を悪用して企業ネットワークへ侵入し、権限昇格や横展開を経て、ランサムウェア攻撃へ発展することもあります。
加えて、攻撃者が窃取した認証情報を悪用して取引先との共有環境やクラウドサービスへ不正アクセスした場合、取引先やグループ会社など、サプライチェーン全体へ攻撃が拡大するリスクがあります。
また、乗っ取ったメールアカウントから取引先へフィッシングメールを送信するなど、信頼関係を悪用した攻撃へ発展するケースもあります。
このようなサプライチェーンを標的とした攻撃は、一度侵害されると被害が連鎖的に拡大しやすく、自社だけでなく取引先や顧客にも影響を及ぼす恐れがあります。
Lumma Stealerに感染した場合の兆候
Lumma Stealerは、情報を密かに窃取することを目的としたマルウェアです。そのため、多くの場合は目立った症状が現れず、感染に気付きにくい特徴があります。
しかし、窃取された認証情報やCookieなどが悪用されると、以下のような異変が発生することがあります。
- 保存していたパスワードが勝手に変更される
- SNSやメール、クラウドサービスから身に覚えのないログイン通知が届く
- 身に覚えのないメールやメッセージが送信される
このような兆候が見られた場合は、認証情報などが窃取・悪用されている可能性があります。
速やかにパスワードを変更するとともに、感染した可能性のあるデバイスを調査し、被害の拡大を防ぐことが重要です。
Lumma Stealerへの対策
Lumma Stealerは、認証情報やCookieを窃取し、不正アクセスやランサムウェア攻撃などの深刻な被害につながる恐れがあります。
そのため、単一の対策だけではなく、複数のセキュリティ対策を組み合わせた多層防御を実施することが重要です。
ここでは、Lumma Stealerへの感染や被害を防ぐために有効な対策を解説します。
EDRやXDRを導入する
Lumma Stealerは、バックグラウンドで動作し、短時間でデバイス内の情報を窃取して外部へ送信します。
情報窃取を短時間で完了させることが多く、従来型のアンチウイルスでは、被害が発生する前に検知・対処できないケースがあります。
そのため、アンチウイルスだけに依存するのではなく、侵入後の不審な挙動を監視できるEDRやXDRを導入し、被害の拡大を防ぐことが推奨されます。
EDRやXDRは、不審なプロセスの実行や認証情報の窃取につながる挙動などを検知・分析し、感染端末の隔離などを通じて被害の拡大を抑えることができます。
認証情報を適切に管理する
Lumma Stealerは、ID・パスワードやCookieなどの認証情報を窃取し、不正アクセスにつなげることを目的としたマルウェアです。
そのため、認証情報を適切に管理し、万が一漏洩した場合でも被害を最小限に抑えられるよう備えることが重要です。
まず、パスワードの安全性を高めるため、サービスごとに推測されにくい複雑なパスワードを設定し、使い回しを避けましょう。
また、多要素認証（MFA）を有効化することも重要です。
多要素認証では、ユーザーの本人確認を強化するため、「知識情報」「所持情報」「生体情報」のうち、2つ以上の要素を組み合わせて認証を行います。
| 知識情報 | パスワードなどの特定のユーザーのみが知っている情報 |
|---|---|
| 所持情報 | スマートフォンやICカードなどユーザー本人が所持している情報 |
| 生体情報 | 指紋や静脈、顔、虹彩など、本人固有の身体情報 |
多要素認証を有効化することで、仮にパスワードが漏洩した場合でも、追加の認証が必要になるため、第三者による不正ログインのリスクを低減できます。
Web・メールのブロック機能を活用する
Lumma Stealerは、フィッシングメールや悪意のあるWebサイトを経由して感染するケースが多く報告されています。
そのため、メールセキュリティ製品やWebフィルタリングを活用し、不審なメールや悪意のあるWebサイトへのアクセスを未然に防ぐことが重要です。
また、ClickFixのような攻撃ではPowerShellを悪用するケースもあるため、業務上必要がない場合は、PowerShellなどのスクリプト実行を制限することも有効です。
OS・ソフトウェアを最新の状態に保つ
OSやブラウザ、業務ソフトウェアには、公開・出荷後に脆弱性（セキュリティ上の欠陥）が発見されることがあります。
このような脆弱性を放置すると、攻撃者に悪用され、Lumma Stealerなどのマルウェアに感染する恐れがあります。
脆弱性が発見されると、ベンダー（提供者）から修正プログラム（セキュリティパッチ）が提供されるため、速やかに適用し、OSやソフトウェアを常に最新の状態に保つことが重要です。
また、手動で更新を行うと適用漏れが発生しやすいため、自動アップデート機能を有効にしておくことをおすすめします。
従業員への情報セキュリティ教育を実施する
Lumma Stealerは、フィッシングメールや偽CAPTCHAなど、ユーザーをだましてマルウェアを実行させる手口を多用します。
そのため、技術的な対策だけでなく、従業員への情報セキュリティ教育を継続的に実施することも重要です。
不審なメールの見分け方や、偽CAPTCHAを悪用した攻撃の手口と危険性を周知し、組織全体のセキュリティ意識を高めましょう。
Lumma Stealer感染時の対処法
保存していたパスワードやアカウント設定が勝手に変更されている、身に覚えのないログイン通知が届くなどの異変が見られた場合、Lumma Stealerによって窃取された情報が悪用されている恐れがあります。
被害の拡大を防ぐため、速やかに以下の対処を実施しましょう。
- 感染が疑われるデバイスをネットワークから切り離す
- 安全なデバイスから認証情報を変更する
- ブラウザに保存されたCookieやパスワードを削除する
- ログ解析やフォレンジック調査を実施する
それぞれの対処法について、詳しく解説します。
感染が疑われるデバイスをネットワークから切り離す
まずは感染が疑われるデバイスをネットワークから切り離しましょう。
これにより、攻撃者への情報送信や、同一ネットワーク内への被害拡大を防ぎやすくなります。
安全なデバイスから認証情報を変更する
感染した可能性のあるデバイスではなく、安全が確認された別のデバイスからパスワードを変更しましょう。
特に、メールやクラウドサービス、VPNなど、重要なアカウントの認証情報は優先して変更することが重要です。
ブラウザに保存されたCookieやパスワードを削除する
Lumma Stealerは、Cookieやブラウザに保存された認証情報を窃取するため、感染が疑われるデバイスのブラウザデータを削除しましょう。
また、必要に応じて各サービスからログアウトし、既存のセッションを無効化することも重要です。
ログ解析やフォレンジック調査を実施する
企業環境では、どの情報が窃取された可能性があるのか、攻撃者による不正アクセスが発生していないかを確認するため、ログ解析やフォレンジック調査を実施しましょう。
必要に応じて、専門業者へ調査やインシデント対応を依頼することも有効です。
Lumma Stealerは感染後も目立った症状が現れないことが多いため、「身に覚えのないログイン通知が届いた」「認証情報の漏洩が疑われる」といった場合は、早めに調査と対処を行い、被害の拡大を防ぐことが重要です。
高度なマルウェアへの対策に「LANSCOPE サイバープロテクション」
ここまで解説したように、Lumma Stealerは認証情報やCookieを窃取し、その後の不正アクセスやランサムウェア攻撃、サプライチェーン攻撃へ発展する恐れがあります。
そのため、本記事で紹介した複数の対策を組み合わせた多層防御を実施することが重要です。
一方で、攻撃手法は年々巧妙化しており、従来型アンチウイルスだけですべてのマルウェアを防ぐことは容易ではありません。
また、万が一侵入を許した場合でも、被害を最小限に抑えられるよう、EDRなどを組み合わせた対策を検討することが重要です。
そこで、本記事では、Lumma Stealerをはじめとする高度なマルウェア対策として活用できる「LANSCOPE サイバープロテクション」を紹介します。
「LANSCOPE サイバープロテクション」では、未知のマルウェアの検知・ブロックに対応する、2種類のAIアンチウイルスソリューションを提供しています。
▼2種類のAIアンチウイルスソリューション
- アンチウイルス×EDR×監視サービス（MDR）をセットで利用できる「Aurora Managed Endpoint Defense」
- 各種ファイルに対策できる次世代AIアンチウイルス「Deep Instinct」
それぞれの特徴について紹介します。
世界トップレベルの専門家によるMDRサービス「Aurora Managed Endpoint Defense」
「LANSCOPE サイバープロテクション」では、EDRのマネージドサービス「Aurora Managed Endpoint Defense （旧：CylanceMDR）」を提供しています。
高度なエンドポイントセキュリティ製品を導入しても、適切に運用できなければ意味がありません。
「Aurora Managed Endpoint Defense」は、下記の2種類のセキュリティソリューションの運用を、お客様の代わりにセキュリティのスペシャリストが実施するMDRサービスです。
- 脅威の侵入をブロックする「AIアンチウイルス」
- 侵入後の脅威を検知し対処する「EDR」
セキュリティのスペシャリストが徹底したアラート管理を行うため、お客様にとって本当に必要なアラートのみを厳選して通知することが可能になり、不要なアラートに対応する必要がなくなります。
また、緊急時にはお客様の代わりにサイバー攻撃へ即時で対応するため、業務負荷を減らし、安心して本来の仕事へ集中していただけます。
対応するスタッフは全員、サイバーセキュリティの修士号を取得したプロフェッショナルなので、安心して運用をお任せいただけます。
「Aurora Managed Endpoint Defense」についてより詳しく知りたい方は、下記のページをご確認ください。
各種ファイルに対策できるNGAV「Deep Instinct」
「LANSCOPE サイバープロテクション」では、 AI（ディープラーニング）を活用した次世代ウイルス対策ソフト「Deep Instinct」を提供しています。
特に、次のような課題を抱える企業・組織に適したソリューションです。
- 未知のマルウェアにも対応したい
- 実行ファイルだけでなく、ExcelやPDF、ZIPなどさまざまなファイル形式を保護したい
- コストを抑えながら、高性能なアンチウイルスを導入したい
近年のサイバー攻撃では、セキュリティ製品による検知を回避するため、実行ファイルだけでなく、ExcelやPDF、ZIPなどさまざまなファイル形式を悪用したマルウェアが確認されています。
「Deep Instinct」は、AI（ディープラーニング）を活用し、未知のマルウェアをはじめ、多様なファイル形式に潜む脅威の検知・防御に対応しています。
「Deep Instinct」の詳細は、以下のページをご覧ください。
※Unit221B社調べ
平時からの備えを支援するインシデント対応サービス
「マルウェアに感染したかもしれない」「Webサイトへの不正ログインの痕跡が見つかった」など、緊急対応が必要になった際の相談先は決まっていますか。
インシデントが発生してから対応方法や依頼先を検討し始めると、初動対応が遅れ、被害の拡大や事業継続への影響につながる恐れがあります。
こうした事態に備えるためには、平時からの準備が欠かせません。
そこで本記事では、平時からのインシデント対応を支援する「Incident360」と「侵害・実態調査」を紹介します。
「Incident360」は、インシデント対応を支援する事前契約サービスです。 事前契約により、インシデント発生時の優先対応を確保するとともに、迅速な初動対応を支援します。
さらに平時には、セキュリティコンサルタントによるIR（インシデントレスポンス）プランやサイバーレジリエンス評価のレビューを実施し、その結果を基にした机上演習を通じて、インシデント対応体制の強化を支援します。
また、「侵害・実態調査」では、ランサムウェア攻撃で狙われやすいActive DirectoryやVPNを対象に、リスクや侵害痕跡を特定します。
過去の侵害痕跡や被害の可能性を確認する「侵害調査」と、予防を目的として環境を評価する「実態調査」の2種類から選択でき、調査結果はレポートとして提供します。
サイバー攻撃が高度化・巧妙化する現在、被害を最小限に抑えるためには、平時からインシデント対応体制を整えておくことが重要です。
万が一に備え、平時からのインシデント対応体制の構築をご検討ください。
まとめ
本記事では「Lumma Stealer」をテーマに主な感染経路やリスク、具体的な対策などを解説しました。
本記事のまとめ
- Lumma Stealerとは、認証情報やCookie、クレジットカード情報などの窃取を目的とした情報窃取型マルウェア（インフォスティーラー）の一種
- 主な感染経路として、「メールの添付ファイルやリンク」「偽装されたソフトウェア」「改ざんされた正規サイト」「偽CAPTCHA」などが挙げられる
- Lumma Stealerは情報を窃取するだけでなく、不正アクセスやランサムウェア攻撃、サプライチェーン攻撃など、その後の侵害活動の足がかりとして悪用されるケースがある
- Lumma Stealerはフィッシングメールや偽CAPTCHAなどを悪用することから、セキュリティツールの導入に加え、従業員への情報セキュリティ教育も重要
Lumma Stealerによって認証情報やCookieが窃取されると、企業ネットワークへの侵入やランサムウェア攻撃、サプライチェーン攻撃などの深刻な被害につながる恐れがあります。
こうした被害を防ぐためには、侵入を防ぐ対策と、万が一侵入を許した場合に備えた対策を組み合わせた、多層的なセキュリティ対策を講じることが重要です。
近年は攻撃手法が高度化しているため、侵入を完全に防ぐことは容易ではありません。そのため、EDRなどを導入し、万が一侵入を許した場合でも、被害の拡大を抑えられる体制を整えておくことが重要です。
なお、本記事で紹介した「LANSCOPE サイバープロテクション」では、AIアンチウイルスとEDRの運用をセキュリティのスペシャリストが支援するMDRサービス「Aurora Managed Endpoint Defense」を提供しています。
Lumma Stealerをはじめとする高度化するサイバー攻撃への対策を強化したいものの、セキュリティ人材の不足や運用負荷に課題を感じている企業・組織の方は、ぜひ導入をご検討ください。
おすすめ記事
