アイデンティティ保護
資格情報の漏えいや情報窃取マルウェアへの感染は、組織への侵入経路として最も一般的です。KELAは、盗まれたID情報が取引されている場所を特定し、どれがまだ侵入の経路となり得るかを検証した上で、実際に悪用される前にその経路を遮断します。
攻撃者にとって、アイデンティティとは何でしょうか？
単なるパスワード以上のものです。以下の情報はすべて、情報窃取マルウェア によって収集され、アンダーグラウンド で販売され、従業員や顧客になりすますために利用されます。
なぜ有効なアカウントが攻撃者の第一の標的となるのか
有効なログイン情報ではアラームは発動しません。これはブルートフォース攻撃よりもコストが安く、クレデンシャルスタッフィングよりも信頼性が高く、情報窃取マルウェアのログからそのまま利用可能な状態で入手できます。IBM X-Forceの2025年のデータによると、公開されているアプリケーションの悪用による初期アクセスは40％を占め、不正アクセスされたアカウント（有効なアカウント、外部のリモートサービス、フィッシングを合わせたもの）は52％を占めました。 IBMは、有効なアカウントを起点とするデータ侵害の平均コストを481万ドルと試算しています。
出典：IBM X-Force 脅威インテリジェンス・インデックス 2025、IBM データ漏えいによるコスト 2025。
盗まれたパスワードがどのように情報漏えいにつながるのか
1. 感染症
職場でも自宅でも、従業員のノートパソコンが、フィッシングメール、マルウェアを含む広告、不正に改ざんされたダウンロード、あるいは偽のアップデートを通じて、情報窃取マルウェアに感染します。
2. 収穫
このマルウェアは、保存されたパスワード、セッションクッキー、自動入力データ、ウォレット、およびシステムの詳細情報を密かに収集し、それらをログとして外部に送信します。
3. セール
数時間のうちに、そのログは売り出されることになる。個人間取引、サイバー犯罪フォーラム、自動取引市場、Telegramのサブスクリプション、そしてULPリストなどで。
4. 侵入
初期アクセスブローカーやランサムウェアのアフィリエイトがログイン情報を購入し、VPNやメール、SaaSを経由して侵入すると、本格的な攻撃が始まる。
エンドポイント保護は最初の段階を、インシデント対応は最後の段階をカバーします。KELAは、その中間、つまり資格情報がやり取りされる段階で機能します。これは、組織が外部から確認できる唯一の段階です。
KELAの数字で見る、アンダーグラウンドのサイバー犯罪
侵害された資格情報およびランサムウェア攻撃による被害組織の数：2026年1月から8月と2025年の同期間の比較
（「ランサムウェア攻撃による被害組織」には、個人も含まれている可能性があります）。出典：KELAのデータレイク
盗まれた個人情報が売買される場所
KELAは、これらすべてのチャネルから情報を収集しています。それこそが、情報の傍受を可能にしているのです。
プライベートセール
資格情報を収集した攻撃者が直接提供する、単発の資格情報パック。
サイバー犯罪に関するフォーラム
ロシア語および英語のフォーラムにおける出品情報やオークション。
自動取引市場
企業、国、サービスごとに絞り込みができるショップで、わずか数秒で購入できます。
定期購読
月額料金で毎日最新のログを配信するTelegramおよびクラウドチャンネル。
ULPリスト
URL、ログイン情報、パスワードがまとめられたファイルが、さまざまな媒体を通じてやり取りされた。
KELAはこれに対してどのような対応をとっているのか
アイデンティティ保護 サイバー犯罪サイト「アンダーグラウンド 」から侵害された の従業員および顧客のID情報を傍受し、どのIDが現在使用中であるかを通知するとともに、すでに運用中のツールに修正措置を適用します。
侵害された のIDをリアルタイムで検知・遮断
ボットネット市場、サイバー犯罪フォーラム、Telegramチャンネル、および情報窃取マルウェア のログクラウドを継続的に監視し、ログが出現した瞬間に、お客様のドメイン、VPN、SaaS、顧客ポータルと照合します。
どの資格情報がまだ有効かを確認する
KELAは、傍受された資格情報をその資格情報に対応するログインと照合し、それぞれを次のように分類します。「重大」はMFAなしでログインが成立する場合、「高」はMFAを突破してログインが成立する場合、「低」はログインが成立しなくなった場合、「フラグ付き」はアカウントがロックされているか、ポータルにアクセスできない場合です。各チームは、リストではなく、確認済みの侵入経路に基づいて対応を行います。
ログインが実行される前に行う処理
深刻度やビジネスコンテキストに応じたアラートに加え、パスワードのリセット、セッションの失効、および多要素認証（MFA）の適用が、SIEM、SOAR、IDプロバイダー、およびチケット管理ツールを通じて実行されます。
情報窃取マルウェア および侵害された の資格情報に関する詳細はこちらをご覧ください。
デモのご予約
よくある質問
アイデンティティ保護 とは何ですか？
ID保護は、従業員や顧客のID情報が悪用される前に、すでに盗まれたものを特定します。KELAのソリューションは、情報窃取マルウェアによるログや資格情報のダンプが売買されている場所を監視し、それらを貴組織と照合して、各資格情報が依然として有効かどうかを確認した上で、パスワードのリセットを実行します。これは、闇市場を把握できないエンドポイント保護やIDプロバイダーを補完するものです。
「漏えいした資格情報」と「不正アクセスされたアカウント」の違いは何ですか？
流出した資格情報は、サードパーティのサービスにおける情報漏えいに起因するものであり、多くの場合、古いものや再利用されたものです。一方、不正アクセスされたアカウントの情報は、端末上の情報窃取マルウェアによって取得されたものであり、通常、最新のパスワード、セッションクッキー、および正確なログインURLが含まれているため、はるかに危険性が高くなります。KELAは両者を追跡しており、情報窃取マルウェアによる出力をよりリスクの高いものとみなしています。
情報窃取マルウェア による感染症はどのようにして起こるのでしょうか？
フィッシングメール、悪意のある広告、クラック版や海賊版ソフトウェア、偽のアップデート、ドライブバイダウンロードなどを通じて。トラファー（感染1件ごとに報酬を受け取る者）は、こうした誘いを大規模に拡散しています。業務用のログイン情報が保存されている個人の端末は、企業への侵入経路としてよく利用されます。
多要素認証でこれを防ぐことはできるのでしょうか？
これにより、最も簡単な侵入経路が遮断されるため、KELAはMFAのない有効な資格情報を、その理由から「重大なリスク」と分類しています。ただし、リスクが完全に排除されるわけではありません。情報窃取マルウェア にはMFAを迂回するセッションクッキーも存在し、攻撃者はMFA疲労やソーシャルエンジニアリングを利用して侵入を試みます。資格情報をリセットし、セッションを無効化することで、これら両方のリスクを解消できます。
盗まれた資格情報はどれくらいの速さで売買されるのか？
多くの場合、1日以内です。ログは収集後すぐに自動取引市場やサブスクリプションチャンネルに送信されるため、監視は定期的ではなく継続的に行わなければなりません。
KELAは何を、どのように検証しているのでしょうか？
傍受された資格情報は、それぞれが属する認証システムに対して検証され、「重大」（有効、多要素認証なし）、「高」（多要素認証を経た上で有効）、「低」（無効）、「情報」（アカウントがロックされている、またはポータルに接続できない）のいずれかに分類されます。セキュリティチームは、すべての一致結果に対応するのではなく、確認された侵入経路に対してのみ対応を行います。
