要点
- 欧州の警察などが、パスワードを盗む StealC、マルウェアを配る Gootloader、遠隔操作の CastleRAT の基盤を摘発した。
- StealC は 2026年6月にも摘発されたが、運営側が基盤を作り直して復活していた。今回が2度目である。
- 盗まれた認証情報は約640万件、被害者は4万人超とされる。自分のものが含まれていないか確かめる手段が公開されている。
何が起きたか
ドイツ警察の発表（2026年11月12日付）によると、摘発は11月9日から11日にかけて行われた。国際的な取り組み「Operation Endgame」の一環である。
ドイツ警察は、米国、カナダ、英国、デンマーク、オランダなどの当局と共同で動いたと説明している。Europol と Eurojust の支援があり、民間の IT セキュリティ企業も加わった。
BleepingComputer によると、Europol は 235 台のサーバーと 257 のドメインを押さえたという。ドイツ警察の発表では「230台超」「250超」と、やや丸めた数字になっている。ドイツ国内のサーバーは 40 台超だ。侵入された 680 超のウェブサイトの掃除も行われたとされる。
3つのマルウェアの役割は次のとおり。
- StealC：感染した端末から、保存されたパスワードや暗号資産ウォレットの情報などを盗む。
- Gootloader：改ざんされたウェブサイトなどを使い、別のマルウェアを送り込む。2020年から活動している。
- CastleRAT：端末を外から操作する道具である。
警察は、盗まれた認証情報の写しを約640万件、被害者 4万人超分見つけた。これらは他の攻撃（ランサムウェアなど）に売られていたとされる。
StealC が摘発されたのは、今回が初めてではない。6月の国際的な摘発のあと、運営側は捜査の手を逃れようと基盤を組み替え、サービスを再開した。ドイツ警察は、今回その新しい基盤を押さえたと説明している。
The Record は、作り直された基盤が「防弾ホスティング」業者 Virtualine につながっていたと伝えている。防弾ホスティングとは、摘発を逃れる運営を売りにする貸しサーバーのことだ。ドイツ警察の発表によると、この業者は10月末に、フランクフルト警察とオランダの NHTCU が閉鎖していた。
逮捕、起訴、暗号資産の押収は、今回は発表されていない。
日本の利用者への影響
日本の被害は、確認した発表には書かれていない。ドイツ警察の発表に日本の記述はなかった。ただし情報窃取マルウェアは、国を問わず企業でも個人でも感染しうる。日本の利用者が含まれる可能性は否定できない。分からない点は、各確認サービスで調べるしかない。
今すぐやること
- Have I Been Pwned など、公開された確認サービスで、自分のメールアドレスが含まれていないか調べる。当局は、データがこうした窓口を通じて共有されると説明している。
- 含まれていた場合、そのパスワードを変える。同じパスワードを使い回したサービスもすべて変える。
- 重要なサービスは MFA（パスワードのほかにスマホなどでも本人確認する仕組み）をオンにする。
- 端末のセキュリティソフトで全体検査をする。不審なものが出たら、ネットから切り離して情報システム担当に相談する。
- WordPress のサイトを運営しているなら、本体とプラグインを更新し、管理者のパスワードも見直す。Gootloader は改ざんされたサイトを使うためだ。
背景
Operation Endgame は、ドイツの主導で2024年に発足した国際的な取り組みだ。発足からの成果として、ドイツ警察は次の数字を挙げている。
- 無効化したマルウェア：17種類
- 出された逮捕状：47件
- 押収・凍結した資産：2.7億ユーロ超
今年6月には、当局と Microsoft が StealC などに関わる基盤を摘発したと発表している。しかし基盤は数か月で作り直された。摘発は効くが、運営側が捕まらない限り復活しうることを示す例だ。
なお、今回の記事は被害の拡大を伝えるものではなく、摘発の報告である。
技術者向けの詳細
- 摘発期間：2026-11-09〜11-11。発表は 11-12。
- 規模（Europol、BleepingComputer 経由）：235 サーバー、257 ドメイン。ドイツ警察は「230台超」「250超」と表記。
- 被害データ：約640万件の認証情報、4万人超（ドイツ警察、The Record）。
- 通知経路：HaveIBeenPwned、DIVD、CheckjeHack、NoMoreLeaks、Sekoia、Shadowserver、NL-NCSC（BleepingComputer）。ドイツでは BSI がプロバイダー経由で通知。
- 清掃手順は BSI のサイトにある。
- Europol のページ本文は取得できず、見出しのみ確認した。数字は上記の二次的な出典との照合である。
- 侵害指標（IOC）は今回の発表に載っていない。
