パスワードはもう安い　ダークウェブでいちばん高いのは「ブラウザ丸ごと」

ダークウェブでいま値崩れしているのは、IDとパスワードのリストのほうらしい。ダークウェブ研究家のTaiki Watanabe（X：@ECHODE_Dev）がそう書いた投稿のまとめが、はてなブックマークの総合1位まで上がった。ブックマークは217件。パスワードを長くして、二段階認証も入れた。それで足りないのか？

Watanabeによると、ダークウェブの闇市場でいま主力商品になっているのは「ブラウザのクローンデータ」。ログイン済みのCookieと、画面の大きさ・入っているフォント・言語設定といった端末の特徴を、ひと束にして売る。値段は、普通の個人のものが300円から1,500円。会社の管理画面に入れるものは数万円から数十万円。買った側は、アンチディテクトブラウザにそれを読み込むだけで、被害者と同じパソコンのふりができるという。

盗まれるのは、ログインしたあとの「状態」

なぜ二段階認証が効かないのか。暗号が破られたわけではない。盗まれるのは、認証が終わったあとの状態だからだ。攻撃する側は、そもそもログインの手続きを踏まない。

ここは第三者の調査でも裏が取れている。Check Point Researchが10月20日に出した報告がある。Kameleo、AdsPower、MultiLoginという3つのアンチディテクトブラウザを調べたものだ。盗んだCookieを流し込む手口では、ログインの記録を残さずに多要素認証を抜けられる、と書いてある。ログインしていないのだから、サイト側に怪しむ材料が出ない。

値段も、だいたい合う。セキュリティ企業ディープストライクのまとめでは、闇市場Russian Marketに2025年上半期は月およそ3万件の端末データが並び、1件およそ10ドル（約1,500円）だった。地域や鮮度で1ドルから100ドルまで開く。Watanabeの言う300円から1,500円は、この幅の中だ。

ネットの評判

はてなブックマークのコメントでは、懐疑のほうが目立った。多かったのは「パソコンに入られた時点で、ブラウザを分けても無力だ」という指摘。ログイン状態が盗まれただけで、二段階認証そのものが無力化されたと言うのは言い過ぎだ、という区別を求める声もあった。発信者の肩書きそのものを疑う書き込みも並んだ。

一方で、サイト側でできることを挙げる人もいた。ログイン状態の期限を短くする、大事な操作のたびに認証をやり直させる。「もう銀行用と普段用で分けている」という報告もいくつかあった。Xでは、ブラウザだけでなくOSのアカウントやパソコン自体も分けたほうがいい、という投稿も出ている。

Chromeは4月に手を打った。それでも穴は残る

では、結局どうなっているのか。Googleは4月9日の公式ブログで、DBSCをChrome 146のWindows向けに配り始めたと発表した。TPMで端末ごとの鍵を作り、Cookieをその端末に縛る。持ち出しても、別のパソコンでは使えない。利用者の操作はいらない。macOS版は次のリリースで入るという。Googleは、セッション盗難が大きく減ったと書いている。

ただ、同じブログにこうも書いてある。高度なマルウェアがいったん端末に入ってしまえば、ブラウザが認証Cookieを置いているローカルのファイルとメモリは読める、と。

実際、Googleが2024年に入れた前の対策（Chrome 127のApp-Bound Encryption）は、数週間で回り込まれた。Elastic Security Labsの調査では、Chromeのメモリを直接読む型、リモートデバッグの9222番ポートから吸い出す型、Chromeの復号サービスを呼ぶ型が、別々のマルウェアで出ている。

ブラウザを分けるかどうかよりも、端末に入れないことが先にある。