ブラウザクローンデータとは？二段階認証が突破される仕組みと今すぐできる対策

「二段階認証を設定しているから、うちのアカウントは大丈夫」——そう思っている方に、少し不安な話をしなければなりません。

ダークウェブの闇市場では今、IDとパスワードのリストより「ログイン済みの状態ごとコピーしたブラウザクローンデータ」のほうが高値で取引されています。NordVPNの調査（2025年6月〜2026年6月）によると、流通しているCookieの数は実に524億件。パスワードをいくら複雑にしても、ログイン後の「通行証」そのものが盗まれていたとしたら、そもそも関係のない話です。

この記事では以下の3点を解説します。

ブラウザクローンデータとは何か、なぜダークウェブの主力商品になったのか
二段階認証がそもそも発動しないまま侵入される技術的な仕組み
今日から実践できる「ブラウザ分離」を中心とした具体的な対策

ブラウザクローンデータとは何か｜ログイン状態そのものが売られる時代

ダークウェブの主力商品はパスワードから「ログイン済みの状態」へ

パスワードリストが値崩れした理由

かつて闇市場の定番商品は「IDとパスワードのコンボリスト」でした。しかし二段階認証（MFA）の普及により、パスワードを入手しても実際にログインするまでのコストが跳ね上がりました。攻撃者にも経済合理性があります。「突破に手間がかかる商品は売れない」——その結果、市場の需要が大きくシフトしたのです。

ブラウザクローンデータの中身

では「ブラウザクローンデータ」の正体は何でしょうか。これは大まかに言えば、以下の情報を丸ごとパッケージにしたものです。

セッションCookie：認証済みであることを示すトークン
ブラウザフィンガープリント：画面解像度・フォント・言語・タイムゾーン・WebGL/Canvasレンダリング結果など100項目以上の端末識別情報
ローカルストレージ、保存済みパスワード、インストール済み拡張機能の構成情報

鍵（パスワード）を盗むのではなく、すでに入室している自分ごとコピーされるイメージです。この比喩が、脅威の本質をよく表しています。

闇市場での価格相場（2026年）

SOCRadarの「Dark Web Price Index 2026」によると、相場は以下のとおりです。

対象	価格帯
一般個人のクローンデータ	$5〜$50
企業管理者アクセス（AWS/GCP/M365等）	数万〜数十万円

窃取から流通までのリードタイムは0〜72時間。感染から丸3日以内には、あなたのログイン状態が誰かの手に渡っている可能性があります。

用語整理｜セッション・Cookie・フィンガープリントの関係

セッションとは「ログイン後の通行証」

Webサービスの認証設計を理解すると、なぜこの攻撃が成立するかが見えてきます。ログインはあくまで入口で1回行う確認です。一度通過すると、サービスはセッショントークン（Cookieに格納）を発行し、以降のリクエストはそのトークンで本人確認を省略します。

つまり、「ログインの瞬間」だけが認証の対象であり、セッション開始後の通信はトークンを持っていれば誰でも正規ユーザーとして扱われます。

ブラウザフィンガープリントとは

もう一つのキー概念がブラウザフィンガープリントです。端末を一意に識別するための特徴情報の集合で、本来は不正検知や広告トラッキングのために使われてきた技術です。

多くのサービスが実装している「このデバイスを記憶する」機能は、このフィンガープリントを使ってMFAの省略を判断しています。逆に言えば、フィンガープリントを偽装することで「いつものデバイス」に成りすますことができてしまうのです。

二段階認証が突破される技術的な仕組み

セッションハイジャックの攻撃フロー（5ステップ）

実際の攻撃がどのように展開されるか、段階的に見ていきましょう。

① インフォスティーラーによる窃取

まず、感染した端末からCookieファイルとフィンガープリントを一括で抽出するマルウェア「インフォスティーラー」が使われます。主な感染経路は以下のとおりです。

フィッシングメール・SMSのリンク
検索広告経由の偽インストーラー（マルバタイジング）
悪意ある、または乗っ取られたブラウザ拡張機能
「クラック版」「無料ツール」を装ったソフトウェア

② スティーラーログとして売買

抽出されたデータは「スティーラーログ」としてダークウェブやTelegramチャンネルで流通します。月額サブスク型で攻撃インフラごとレンタルできるサービスも増加しており、技術的なハードルは下がり続けています。

③ アンチディテクトブラウザへの読み込み

購入者は「アンチディテクトブラウザ」と呼ばれる特殊なツールにデータを読み込みます。本来はアフィリエイトやマルチアカウント運用向けに開発されたツールですが、攻撃目的で悪用されています。

④ 端末環境の完全偽装

ユーザーエージェント、OS、画面解像度、タイムゾーン、言語、フォントリスト——これらをすべて被害者の環境に合わせて偽装します。IPアドレスも被害者と同一地域のプロキシを経由することで整合性を取ります。

⑤ 認証サーバーが「いつもの端末」と誤認

デバイス信頼機構が成立し、二段階認証がそもそも発動しません。ログイン履歴にも「いつもの環境からのアクセス」として記録されるため、被害の発見が遅れる点も深刻です。

AiTM（Adversary-in-the-Middle）攻撃｜MFAコードを入れた瞬間に盗まれる

セッションハイジャックとは別に、MFAを突破する別の手口も広まっています。

リバースプロキシ型フィッシングの流れ

AiTM攻撃では、偽のサイトが本物のログイン画面を中継するリバースプロキシとして機能します。被害者が本物と信じて入力したMFAコードは、リアルタイムで本物のサービスへ転送されます。攻撃者が最終的に得るのはMFAコードではなく、認証完了後に発行されたセッショントークンです。

実際の被害規模

「Mirage2FA」と呼ばれるフィッシングキットは、2024年以降で4,532組織を標的にし、2026年8月に被害が急増しました（SpyCloud調査）。Microsoft 365環境での被害が特に報告されており、セッション乗っ取り後はメール・OneDrive・Teamsが完全に掌握される事例も確認されています。

新型マルウェア Storm Infostealer（2026年初頭〜）

2026年初頭に登場した「Storm Infostealer」は、従来の検知回避をさらに上回る設計を持ちます。最大の特徴はサーバーサイド復号という手法で、端末上では暗号化されたままデータを送出し、攻撃者のサーバー側で復号します。これにより、EDR（エンドポイント検知・対応）やアンチウイルスによる挙動検知を回避します。

月額$1,000以下でのレンタルも可能とされており（BleepingComputer報告）、Cookie・保存パスワード・暗号資産ウォレットを一括収集します。攻撃の「サービス化（Malware as a Service）」が被害を量産している現状です。

なぜこれは「2FAの欠陥」ではないのか

ここで重要な整理をしておきます。MFAは設計通りに機能しています。守っているのは**「ログインの瞬間」**だけであり、セッション開始後のセキュリティは保護範囲外というのが本質的な仕様です。

「認証した＝ずっと信頼する」という前提がそもそも崩れており、ゼロトラストの文脈で言えば「セッションも継続的な検証対象にすべき」という方向性が正しいアプローチです。MFAを「無意味だ」と判断するのは誤りであり、初回ログインの防御には今も有効です。ただし、それだけでは十分でないことを理解した上で使う必要があります。

よくある疑問に答える

二段階認証は意味がないのですか？

結論：初回ログイン防御には有効です。ただしセッション開始後は無力です。

設定しない理由にはなりません。2FAがあれば、パスワードだけが漏洩したケースではアカウントを守れます。問題は「2FAを設定したから完璧」という過信にあります。

パスワードを変更すれば安全になりますか？

結論：不十分です。

Cookieが有効な間は、パスワードを変更しても侵入が継続する場合があります。本当に必要なのは**全セッションのサインアウト（トークン失効）**です。主要サービスの設定場所は以下のとおりです。

Google：[myaccount.google.com] → セキュリティ → 「デバイス」欄から全デバイスをサインアウト
Microsoft：[account.microsoft.com] → セキュリティ → サインインアクティビティ
各種SNS：設定 → セキュリティ → アクティブセッション・ログイン中の端末一覧

どうやって感染するのですか？

2026年時点で特に注意すべき感染経路はブラウザ拡張機能です。一度インストールされた拡張機能がサイレント更新で悪意ある機能を追加したり、開発者が売却した後に悪用されるケースが増えています。DOM解析やセッショントークン窃取が可能な権限を持つ拡張機能は特に危険です。

パスキー（FIDO2）に移行すれば解決しますか？

部分的な解決です。

パスキーは強力で、AiTM型のフィッシングには高い耐性を持ちます（ドメインにバインドされているため、偽サイトでは使えない）。しかしセッション開始後の窃取には依然として脆弱です。現時点で最優先の移行先であることは確かですが、万能薬ではありません。

今日からできる実践的対策｜鍵はブラウザの「分離」

対策1：ブラウザを用途で完全分離する（最重要）

最も効果的な対策は、ブラウザを用途ごとに分離することです。以下の3分割モデルを推奨します。

用途	使うブラウザ	運用ルール
銀行・証券・暗号資産	専用ブラウザA	拡張機能ゼロ、ブックマーク直打ちのみ、他サイト閲覧禁止
業務（M365/Slack/管理画面）	専用ブラウザB	許可された拡張機能のみ、業務以外では使わない
日常の閲覧・検索	ブラウザC	ここが汚染される前提で運用

プロファイル分離では不十分な理由があります。インフォスティーラーは同一ブラウザアプリの全プロファイルを横断して収集します。分離はプロセス・実行ファイルレベルで行う必要があります。Chrome と Firefox、Edge など、別のブラウザアプリを使うことが重要です。

運用の「面倒さ」を下げるには、専用ブラウザのショートカットをデスクトップに置き、アイコンを変えて見分けをつけるのが効果的です。

対策2：ブラウザ拡張機能の棚卸し

拡張機能の権限「すべてのサイトのデータの読み取りと変更」は、セッショントークンへのアクセスを意味します。棚卸しのルールとして、3か月使っていない拡張機能は削除、金融・業務用ブラウザには一切インストールしないことを徹底してください。

対策3：パスキー（FIDO2）への移行

優先的に移行すべきアカウントはメールです。メールが乗っ取られると、他サービスのパスワードリセットが連鎖的に悪用されるからです。次いでクラウドストレージ、SNS、業務ID基盤の順に移行を進めましょう。

注意点として、SMS認証などのフォールバック手段が残っていると穴になります。移行後は旧来の認証手段を可能な限り無効化してください。

対策4：セッションを定期的に失効させる

月1回、またはマルウェア感染が疑われた直後に「全デバイスからサインアウト」を実行する習慣を持ちましょう。「このデバイスを記憶する」チェックボックスは、利便性とリスクのトレードオフです。公共のネットワークや共用端末では必ず外してください。

対策5：感染そのものを減らす基本動作

ダウンロード経路を固定する：公式サイト・公式ストア以外から実行ファイルを取らない
検索広告の最上位リンクを踏まない：マルバタイジングの定番手口です。URLを確認してからアクセスしてください
OS・ブラウザの自動更新を有効にする：多くのインフォスティーラーは既知の脆弱性を突きます

企業・情シス担当向けの追加対策

個人の対策に加え、組織レベルでは以下が有効です。

条件付きアクセスポリシー：デバイス準拠チェックを必須化し、未管理端末からのセッションを拒否する
トークン保護・セッション有効期間の短縮：Microsoft Entra IDのトークンバインディング機能が実用段階にあります
スティーラーログ監視サービスの導入：自社ドメインの認証情報がダークウェブに流出していないかをリアルタイムで監視する
インシデント手順へのトークン一括失効の組み込み：侵害発覚時にパスワードリセットだけでなく、全アクティブセッションを強制失効させる手順を明文化する

まとめ｜守るべきは「パスワード」ではなく「ログイン状態」

この記事の要点を3行でまとめます。

闇市場の主力商品は、ログイン済み状態をコピーした「ブラウザクローンデータ」に移行している
端末環境ごと偽装されるため、二段階認証はそもそも発動しないケースがある
最も効くのは「ブラウザの用途別完全分離」＋パスキー移行＋定期的なセッション失効の組み合わせ

セキュリティの常識はアップデートが必要です。「パスワードを強くして2FAを設定する」だけでは、現在の攻撃には対応しきれません。今日から意識すべきは、ログイン状態（セッション）そのものを守ることです。

今日やるべきことチェックリスト

金融・業務用に専用ブラウザを用意した
不要な拡張機能をすべて削除した
メールアカウントをパスキーに移行した
主要サービスの全デバイスからサインアウトを実行した
各サービスのアクティブセッション一覧を確認した

参考文献・出典

Togetter「ダークウェブのブラウザクローンデータ脅威」
NordVPN Cookie流通数調査（2025年6月〜2026年6月）
SpyCloud「Anti-Detect Browsers Spoof Real Users」
SpyCloud「AiTM Phishing Kits Steal Session Tokens」
BleepingComputer「Storm Infostealer」
SOCRadar「Dark Web Price Index 2026」
Menlo Security「MFA Bypass Attacks 2026」
Venn「Browser Security 2026」