MicrosoftとEuropolは、情報窃取型マルウェア「StealC」と、これを送り込むローダー「Amadey」に関連する犯罪インフラを一斉に停止したと発表した。MicrosoftのDigital Crimes Unit（DCU）は裁判所命令に基づき、両マルウェアの中核となる200以上のC2（指令）サーバのドメインとIPアドレスを停止し、Europolをはじめとする各国法執行機関や複数のセキュリティ企業と連携して、マルウェア運用基盤の無力化を進めた。
事案の要点
- 攻撃者・脅威アクター：情報窃取マルウェア「StealC」「Amadey」を運用していた犯罪グループの運営者およびアフィリエイトとされるが、個別の身元や組織名の詳細は現時点で不明
- 標的・被害組織：世界各地の一般ユーザーおよび企業組織とみられるが、個別の標的名や組織名は報道ベースでは明示されていない
- 攻撃手法・マルウェア種別：情報窃取型マルウェア「StealC」と、追加のマルウェアを送り込むローダー型マルウェア「Amadey」による攻撃／C2サーバ（指令・制御用インフラ）を用いた運用
- 被害規模・影響範囲：Microsoftは、裁判所命令に基づき200以上のC2ドメインとIPアドレスを停止し、およそ1万8000台の感染端末を特定して保護対応を開始したとしている。2026年5月上旬の2週間だけで、両マルウェアが世界で14万台超の端末の感染に関与していたと報告されている。一方で、個別の被害件数・被害組織・地域ごとの内訳までは公表されていない。
- 現在の対応状況：MicrosoftのDCUとEuropol（欧州刑事警察機構）、ドイツ連邦刑事庁、デンマーク警察、オランダ警察などの法執行機関、およびESET、BitSight、Lumen、IBM、Proofpoint、三井物産セキュアディレクション（MBSD）などのセキュリティ企業が連携し、StealC／Amadeyのインフラをテイクダウン。Microsoftは米フロリダ州南部地区連邦地方裁判所において、運営者やアフィリエイトに対する訴訟も提起している。
事案の詳細
報道によると、米Microsoftのデジタル犯罪対策部門であるDigital Crimes Unit（DCU）とEuropol（欧州刑事警察機構）は2026年6月24日、情報窃取型マルウェア「StealC」と、これを送り込むローダー「Amadey」が利用していた犯罪インフラに対し、一斉テイクダウン（停止措置）を実施した。これは、2024年から続く国際的な取り締まり活動「Operation Endgame」の一環として行われたものであり、法執行機関と複数のセキュリティ企業が協力して実施している。
Microsoftによれば、DCUは米国の裁判所命令に基づき、StealCとAmadeyに関連する200以上のC2（Command and Control：指令・制御）サーバのドメインとIPアドレスを停止した。また、これらのインフラと通信していた約1万8000台の感染端末を特定し、通信事業者と連携して保護措置に着手している。さらに、2026年5月上旬の2週間だけでも、両マルウェアが世界で14万台超の端末の感染に関与していたと説明しており、広範な被害が発生していたことがうかがえる。
Europolは、過去2週間の一連の作戦を通じて合計326台のサーバと142のドメインに対処し、約2700万件の窃取された認証情報を回収したほか、犯罪に関連する4,100万ユーロ超の暗号資産を特定し、その利用を制限したとしている。これらの措置により、StealCやAmadeyを含むMalware-as-a-Service型のサイバー犯罪インフラに対し、収益化の基盤を断つ効果が期待される。
今回の取り締まりには、Microsoft DCUとEuropol EC3（European Cybercrime Centre）に加え、ドイツ連邦刑事庁、デンマーク警察、オランダ警察などの法執行機関、およびESET、BitSight、Lumen、IBM、Proofpoint、三井物産セキュアディレクション（MBSD）などのセキュリティ企業が参加した。MBSDは日本企業として唯一この国際共同プロジェクトに参画したとされる。
一方で、攻撃者の個々の身元や組織名、標的となった具体的な企業・団体名、国・地域別の被害分布など、細かな属性情報は公開されておらず、詳細は現時点で不明とされている。確認できる事実としては、StealCとAmadeyに関連する200超のC2ドメイン／IPが停止され、感染端末の特定と保護が進められていること、そしてOperation Endgameの枠組みの下で、マルウェアの配布から収益化までを支えるインフラそのものを対象にした大規模なテイクダウンが行われた点である。
推奨される対策
- OSやアプリの更新：利用環境のセキュリティ更新を継続し、既知の脆弱性を放置しない。特にブラウザやメーラ、Office製品、VPNクライアントなど、侵入の起点となりやすいソフトウェアは最新版への更新を徹底する。
- 多要素認証の利用：主要アカウント（メール、クラウドサービス、VPN、管理コンソールなど）で多要素認証を有効化し、窃取された認証情報を悪用した不正ログインのリスクを下げる。
- 不審な添付やリンクの回避：出所不明のファイル、URL、メッセージを安易に開かない。特に、請求書・配送通知・業務連絡などを装ったメールからの添付ファイルやマクロ付き文書、圧縮ファイルの実行は慎重に確認する。
- EDR／アンチマルウェアの活用：端末の検知・防御機能を有効にし、定義ファイルやエンジンを最新に保つ。情報窃取マルウェアやローダー型マルウェアを早期に検知・隔離できるよう、ふるまい検知やクラウドベースの脅威インテリジェンスを活用する。
- ログ監視とインシデント対応：異常な通信（未知のC2ドメインや海外IPへの定期的なアウトバウンド通信）や、認証の失敗・深夜帯のログインなどの兆候を監視し、検知時に端末の隔離・フォレンジック調査・パスワードリセットなどを迅速に実施できる手順を整備する。
- 権限管理：不要な管理者権限を減らし、端末にローカル管理者権限を持たせないなどの最小権限の原則を徹底することで、単一端末の侵害が組織全体に拡大するリスクを抑える。
よくある質問
Q. 今回停止された「C2サーバ」とは何ですか？
A. C2サーバ（Command and Controlサーバ）とは、マルウェアに対して外部から指示を送ったり、感染端末から盗んだ情報を受け取ったりするための指令・制御用のサーバを指す。StealCやAmadeyの場合、C2サーバは感染端末に追加マルウェアのダウンロードや情報窃取の指示を出す「司令塔」の役割を担っており、今回はこのC2ドメインとIPが200以上停止されたと報じられている。
Q. 対象となったマルウェア「StealC」「Amadey」はどのような特徴がありますか？
A. StealCは、ブラウザやアプリケーションに保存された認証情報、クッキー、暗号資産ウォレット情報などを盗み出す情報窃取型マルウェアであり、盗んだ認証情報がアカウント侵害や金融詐欺などに悪用されるとされている。Amadeyはローダー型マルウェアで、フィッシングメールや不正サイトなどを通じて侵入した後、StealCなどの追加マルウェアをダウンロード・実行する「入口」として機能する。今回のテイクダウンは、こうしたMalware-as-a-Service型の犯罪サービスを支えるインフラを狙ったものである。
Q. 自分（自社）が影響を受けたかはどのように確認できますか？
A. 公表情報だけでは、どの端末や組織がStealCやAmadeyに感染していたかを個別に特定することはできず、標的や被害組織の詳細も現時点では明らかにされていない。自組織での影響を確認するには、EDRやアンチウイルスの検知ログ、プロキシやファイアウォールの通信ログ、DNSログなどを確認し、報道で示された関連ドメインやIPアドレスへの通信がないか、StealC／Amadey関連の検知が発生していないかを点検することが一般的である。不審な挙動や検知が見つかった場合は、端末の隔離、パスワード変更、多要素認証の再設定などのインシデント対応を速やかに実施することが推奨される。
参照: MicrosoftとEuropol、情報窃取マルウェア「StealC」「Amadey」の基盤を一斉摘発 C2サーバ200台超を停止