🐤初めての方へ
本シリーズは全7話の実録連載です。事件の発端（第1話）はこちらからどうぞ！
初期化したはずの新アカウントに、なぜ見知らぬ影が？
新しく作った Google アカウントのファミリー設定に、見知らぬメールアドレスが候補として現れた。
……お前ら、どこから湧いた？
端末は、完全初期化済み。
Google アカウントも新規。
唯一のつながりであった、兄雀のアカウントまで新規で作ったアカウントだった。
それでも、何かがつながってる。
写真は画像データだけじゃないよ。
撮影日時や位置情報はもちろん、ファミリーに登録したことで『過去のやり取り相手』まで、気を利かせて候補として引っ張り出してきちゃったんだよ。
写真だけ移行したかったが、1TB の 10万枚にも及ぶ写真を転送する手段は限られている。
ファミリーに登録して、Google フォトの一括同期が、作業効率の上では最善策。
クラウドが裏で抱え込んでる『謎の連絡先』や『過去の共有ログ』まで新アカウントに引きずり込んでしまったのかもしれない。
でも、ここでようやく気付いた。
私はずっと、PCの中から犯人を追い出そうとしていた。
けれど――
敵は、クラウドにあり！
地上（PC）の掃除に気を取られ、雲の上（クラウド）で何が起きているかを見失っていた。
AI たちと大立ち回りを演じた末に辿り着いた結論は、驚くほどシンプルだった。
地上戦から空中戦へ──防衛ラインの再構築
「地雷を踏んだら、何が起きるのか」
「で、何をすればいいのか」
昔ながらの対策は、今でも必要だ。
- 信頼できる別端末から、重要アカウントのパスワード変更
（使い回していた認証情報があれば、そちらも変更） - アカウントの連絡先（復旧用メールも含む）が書き換えられていないかの確認
- メールの転送・フィルタ、Drive/Photos 共有関係をチェック
- タスクマネージャー・タスクスケジューラーの不審項目を確認
- 不審なダウンロードや、ZIP は開かずに削除
- Cookie・サイトデータ・キャッシュの削除
どれも王道で、即やるべきことではある。
ただ、今回、これだけで「効いた」と実感したものは、正直ほとんどなかった。
直ぐにパスワードを変更すれば、犯人のセッションごと切れるかもしれないが、例外があることは第一章にて記述の通り。
侵入後は、こちらが見つけるより先に相手が仕事を終えていることもある。
だが、下記の２つは、疑いが濃い場合はやっておきたい。
- ブラウザのプロファイル削除
狙いは、PC 内に残っているブラウザの Cookie、ローカルセッション、保存情報、同期設定などをまとめて切ること。
ただ、必要なデータまで焼かないよう、実行前に何が消えるか確認が必要。
保存パスワード、履歴、ブックマーク、拡張機能、設定など、同期されていないものは消える可能性がある。
ただし、OAuth 連携まで消えるわけではない。 - クリーンインストール（またはメーカー純正の「リカバリーメディア」による初期化）
狙いは、Windows 上に住み着いたマルウェアや不審な常駐設定を、OS ごと更地にすること。
PC 在住型のマルウェアを本気で疑うなら、USB からのクリーンインストールは強力だ。
ただ、PC を初期化する為、データのバックアップや、アプリ再設定など、この辺の代償が大きい。
詳しい手順は、お手持ちの AI やメーカーサポートと相談してほしい。
母雀 PC では、ブラウザのプロファイル削除 ＋ クリーンインストール ＋ SSD クリーン ＋ マザーボード交換まで行った。
それでも終わらない。
何故なら、今どきは、PC の外にもログイン状態があるからだ。
知っておくべきクラウドの3大急所（セッション・Cookie・OAuth）
クラウドを理解するうえで、避けて通れないキーワードはこちら。
- セッション
「ログイン済み」という状態
⇒ 奪われると、二段階認証をすっ飛ばして、今ログイン中のあなたとして振舞える
⇒ ブラウザを「×」で閉じても維持される。終わらせるには手動で「ログアウト」が必須 - Cookie
ブラウザが端末側に保存する情報の小箱
ログイン状態を維持するための「セッションID」などが入ることがある
⇒ インフォスティーラーが真っ先に狙う一番のお宝 - OAuth
別サービスに「この範囲なら使っていい」と権限を貸す、顔パスのようなもの
⇒ 許可証である「アクセストークン」が生きてると、アカウントのパスワード変更後も連携先（サードパーティ）にアクセスできてしまう
「ブラウザを×で閉じた」「ブラウザ終了時に Cookie 削除を設定してる」から安心……は大間違い！
端末側のデータを消しても、サーバー側の「セッション」が生きていれば、抜き取られた Cookie で攻撃者はログイン可能。
合鍵を無効化するには、画面上で「ログアウト」を押して対象アプリを閉じる必要がある。
(例：AI なら画面左下の人物マークから「ログアウト」を選択)
ログイン時に「毎回パスキーを求められる」からといって、サーバー側でログアウト（セッションが失効）しているとは限らないのが落とし穴。
ネットサーフィンで地雷を踏んだら、何が起きるのか
まず、ネットサーフィンで地雷を踏んだら、何が起こるのか。
PC に在住しているマルウェアと違い、セッション情報を奪う為、ユーザー自身に何らかの認証操作をさせる手口が中心になる。
偽のログイン画面や、公式キャンペーンを装うなど、あの手この手でユーザーにID・PWを入力させようとしてくる――これが古典的フィッシングである。
最近は、ワンタイムパスワードを入力した瞬間にリアルタイムで中継されるパターン（AiTM攻撃）もあるので、ネット上やメールのリンク先では不用意に入力しないという自衛は必須だと思う。
この手の偽ログイン画面を使うフィッシングには、「パスキー」や YubiKey は、極めて有効だ。
一方で警報を鳴らしまくるタイプの詐欺サイトは、従来通り「タスクの終了」で閉じるのが基本。
「×」に偽装リンクが仕込まれていたり、閉じれないように細工したり、IPアドレスを表示させて脅かす場合もあるが、基本的にはページを閉じれば済むことが多い。
問題は、PC本体にマルウェアを落としてくるタイプである。
落とす動作に１クリック、実行時に２回目のクリックを要求してくる。
ダブルクリックを誘って実質2回クリック（ダウンロード＋即実行）を成立させたり、表示遅延を装って連打させたり、警告ダイアログで焦らせたりと手口は様々である。
実行前なら、不審なファイルは開かず、身に覚えのない zipフォルダは解凍（zipはすべて外部由来）せずに、ごみ箱へ直行させれば問題ない。
ただし、ショートカット・PDF・文書ファイルなどに擬態しているため、一見では見抜けないかもしれないが…。
そして一番警戒すべきは、邪魔なポップアップや通知を消そうと「反射的にポチッ」とした瞬間、「開く / 実行」と判定されてしまうパターンだろう。
最近は「私はロボットではありません」という偽認証ダイアログに仕込み、Web Push通知の権限を奪って後日偽通知（更新通知とかセキュリティ通知等）を表示する手口も横行している。
しかも、一度通知を許可した Web Push の権限は、タブを閉じても、PCを再起動しても消えない。
PCヘルプデスクの現場でも、社外接続PCにおいて『通知には、1ミリも触るな』が鉄則であった。
ブラウザの設定から「ダウンロード前に各ファイルの保存場所を確認する」のスイッチを 「ON」 にしておけば、「どこに保存しますか？」とダイアログで急ブレーキがかかるため、意図しない自動ダウンロードや誤爆防止に役立ってくれる。
サイトからの通知（Web Push）も、初めから許可しない設定が可能。
（Windows / Defender の通知は別ルートなので、ノープロブレムだ）
Google：「サイトに通知の送信を許可しない」へ切り替え
・ chrome://settings/content/notifications
Edge :
・ ポップアップをブロック（edge://settings/content/popups）
・ 通知要求を抑制する（edge://settings/content/notifications）
最後に、ブラウザの拡張機能で、地雷系拡張機能を自ら入れてしまうパターン。
これはブラウザ上にマルウェアを飼う様なものなので、入れるなら慎重に選びたい。
なお、怪しい拡張機能が裏で動いていないかを確認したい場合、Google Takeout（データのエクスポート）で「Chrome」内の「拡張機能」データだけを抜いてみるのが意外と役に立つ。
ブラウザの設定画面からは巧妙に隠されたり、名前を無害そうに偽装されたりしていても、Takeout で吐き出される拡張機能リスト（JSON ファイル）には、正式な拡張機能 ID や追加元 URL が生データのまま容赦なく記録される。
気になる方は、試してみてほしい。
つまり……
- ID・パスワードを入力した直後に、違和感を覚えた
- 怪しい拡張機能を入れてしまった
- ダウンロードしたファイルを実行してしまった
このどれかに心当たりがあるなら、王道の確認項目は一通り見ておいた方がいいだろう。
なお、純粋にネットサーフィンで「1つのセッション情報が奪われただけ」の場合でも、以下のような被害が発生する恐れがある。
- ドライブ・フォトなどのファイル閲覧・ダウンロード・外部共有
- OAuth で連携している外部サービスへの不正アクセス
- メールの送受信・連絡先の閲覧、転送設定やフィルターの悪用
これらは、すでに「ログイン済み」の合鍵を使われるため、日常的なWeb操作やデータ閲覧は、ほぼやりたい放題となる。
厄介なのは、メールボックスを握られるため、他サイトへの「メール通知／認証コード」が奪取され、PWリセットが可能なこと。
ただし、アカウント本体のPW変更や、クレジットカード情報の閲覧、2FAの変更などの重要情報の操作は、認証なしにはできないと思ってよい。
なお、マルウェアを PC に迎え入れてしまってからの被害については、二段階認証すら素通りして操作できてしまう。
このブログ①～⑥を見て頂ければ、その被害はお判り頂けると思う。
どんなに鍵を強固にしても、すでに家の中にいる泥棒には無力である。
母雀流・泥棒にすべてを渡さない防衛ビルド
パスワードを見直した数は、総数200以上。
だが、鍵をどれだけかけ替えても、内側から開けてしまったら終わり。
ならば、最初から「いつか踏み抜くかもしれない」前提で動線を組み直すしかない。
地雷を踏み抜いた経験から構築した、母雀流の防衛策が以下の3つである。
① ファイル擬態対策
表示を「詳細」に切り替え、拡張子を表示する。
拡張子表示は、.exe、.js、.bat、.msi などの擬態を見抜くのに有効。
（※ショートカット .lnk は、拡張子表示をONにしても見えないことがあるので注意）
これで、「請求書.pdf.exe」みたいな擬態が丸見えになる。
そのうえで、
普段使う「PDF」や「ショートカット」のアイコンを自分好みに変えておけば、
デフォルトアイコンで擬態した偽物は「いつもの顔じゃない」から、見破りやすい。
② ブラウザ分離
ブラウザを分ける最大の理由は、
野良で被弾しても、即座にトカゲの尻尾切りができるから。
多少面倒でも、本丸まで火が回ることがない仕組みを作ることが大切である。
🦁 野良サーフィン区画
検索・ニュース・知らないサイトへガンガン行く用。
Brave の様なトラッキング防止機能が強化されたブラウザが望ましい。
重要アカウントを紐づけたり、クレカを保存しない。
🦊 金庫区画（都度呼び出し用）
Amazon、銀行、カード、証券など。
ブログ（サーバー）の親アカウント。
「登録済みブックマーク」からしか開かない運用を貫く。
ブログ や Amazon など、乗っ取られると厄介なものの親アカウントは、PC にプロファイルを持たせず、必要あればここから都度呼び出す。
Firefox など、常時ログインしているブラウザとは、別のブラウザを使う。
※なお、YubiKey（Yubico FIDOセキュリティキー NFC）があれば、キーロガー防衛と、PWの都度入力や、QRコード認証地獄から解放される。
🍟 どうでもいい区画
出前、ポイ活、キャンペーン、通販のサブ系などの登録用。
パスワード保存もあり（できればパスワードの使いまわしは避けたい）。
カードを置くなら「利用限度額を低くした専用カード」を登録し、利便性も兼ねる。
🏰 本丸区画
Google Photos、Drive、Microsoft、家族写真など。
ここでは基本的に、ネットサーフィンはしない。
写真などは、Amazonフォトなど他サービスにも予備保存しておけば、より安心。
重要データは、無害なアカウント（PC内にプロファイルが存在しない）に共有設定しておく。
ただし、PC そのものにインフォスティーラーや RAT が入ったら、ブラウザを複数に分けても絶対防御にはならないのは、お察しの通りである。
③ 復旧用の第二メール専用アドレス
普段使いの、Google / Microsoft / Yahoo! 環境とは別系統で、
復旧専用のお忍びアドレスを作る作戦である。
このアドレスは、他サービスの登録や、ネット上でむやみに使わないことがお約束。
安全性重視なら――
プライバシー極振りの「ドイツの Tuta」、独自ドメインやパスワード連携が強い「オーストラリアの Fastmail」 、枝番を使い捨て感覚で増やせる「スイスの Proton Mail」 などが候補に挙がる。
これなら「サブを取られたら、復旧メールまで同じブラウザ・同じクラウド・同じ認証経路で、メインまで奪われました」という共倒れを避けやすい。
できれば PC には置かずに、独立性を保っておきたい。
母雀が最後にたどり着いたのは、
「絶対に破られない城」を作ることではなかった。
城門を破られても、すべてを持っていかれない。
一つの蔵が燃えても、別の蔵へ火が回らない。
そして、いざという時には逃げ道が残っている。
守りを固めるだけではなく、支城への退路を保っておく。
ブラウザを分けるのも、復旧用メールを別系統にするのも、結局はそのためである。
敵は、クラウドにあり。
ならばこちらも、一つの城にすべてを預けてはいけない。
これが、長い奪還戦の末にたどり着いた、母雀なりの防衛策である。
さて。
本編は、これにてひとまず幕。
だが、この一件を裁く御仁が、まだ残っている。
外伝を読む（江戸へ飛ぶ） →
← 第6話へ戻る 🏠初めから読む
