Keylogger

キーロガー（Keylogger）とは、コンピュータやモバイルデバイスのキーボード入力（キーストローク）を密かに記録する技術またはプログラムの総称です。ユーザーが入力したパスワード、クレジットカード番号、個人メッセージなどの機密情報を窃取することを主な目的としています。

キーロガーには大きく分けてソフトウェア型とハードウェア型の2種類が存在します。ソフトウェア型はマルウェアの一機能として実装されることが多く、トロイの木馬やスパイウェアに組み込まれて配布されます。ハードウェア型はキーボードとコンピュータの間に物理的に接続するデバイスで、ソフトウェアベースのセキュリティ対策では検知できないという特徴があります。

キーロガーには合法的な使用と悪意ある使用の両面があります。企業が従業員の業務監視や内部不正の調査を目的として使用する場合や、保護者が子どものインターネット利用を監視する「ペアレンタルコントロール」として使用する場合は合法とされるケースがあります。一方、本人の同意なく個人情報を窃取する目的での使用は不正アクセス禁止法やプライバシー侵害に該当します。

ソフトウェア型キーロガー

• APIベース型：WindowsのSetWindowsHookExやGetAsyncKeyState等のAPIを利用してキーストロークを傍受する。最も一般的な実装方法で、ユーザーモードで動作するため比較的検知しやすい
• フォームグラバー：ウェブブラウザのフォーム送信をフックし、ユーザーがWebフォームに入力した内容（ログイン情報、カード番号等）を暗号化される前に傍受する。Zeus/Zbotなどのバンキングトロイで多用される
• メモリインジェクション型：正規のプロセスにコードを注入し、そのプロセスのコンテキストで動作する。セキュリティソフトからの検知を回避するために、信頼されたプロセスに寄生する
• カーネルモード型：OSのカーネルレベルでキーボードドライバをフックし、すべてのキー入力を傍受する。最も検知が困難で、管理者権限を必要とする
• スクリーンキャプチャ型：キー入力と同時に画面のスクリーンショットを定期的に撮影し、仮想キーボードなどの対策を回避する

ハードウェア型キーロガー

• USB型キーロガー：USBキーボードとPCの間に小型のデバイスを挿入する。外見はUSB変換アダプタに似ており、内蔵メモリにキーストロークを保存する。Wi-Fi機能付きの製品もある
• ワイヤレスキーボードスニファー：ワイヤレスキーボードの無線通信（2.4GHz帯）を傍受する。暗号化が不十分なワイヤレスキーボードは、離れた場所からキー入力を盗聴できる（KeySniffer攻撃）
• BIOS/ファームウェアベース：コンピュータのBIOSやキーボードのファームウェアに組み込まれるタイプ。物理的に極めて検知が困難で、高度な標的型攻撃で使用される

検知方法

キーロガーの検知には複数のアプローチが有効です。シグネチャベース検知では、既知のキーロガーのパターンをデータベースと照合します。振る舞い検知では、キーボードフックの設定やスクリーンキャプチャなどの不審な動作を監視します。ネットワーク監視では、窃取したデータの外部送信を検知します。ハードウェア型に対しては、USBポートの物理的な目視確認やUSBデバイスの監査が必要です。

対策技術

• 仮想キーボード（ソフトウェアキーボード）：画面上のキーボードをマウスでクリックして入力する方式。一般的なAPIベースのキーロガーを回避できるが、スクリーンキャプチャ型には無効
• 二要素認証（2FA）：パスワードが窃取されても、第二の認証要素によって不正アクセスを防止する。キーロガー対策として最も効果的な手段の一つ
• パスワードマネージャー：自動入力機能によりキーボードでのパスワード入力を不要にする。クリップボードの自動消去機能もキーロガー対策に有効

• 01
  二要素認証（2FA）を有効にする：すべての重要なアカウントで二要素認証を有効にしてください。キーロガーによってパスワードが窃取されても、ワンタイムパスワードやハードウェアキーによる第二の認証が突破されなければ不正アクセスを防止できます。
• 02
  パスワードマネージャーを使用する：パスワードマネージャーの自動入力機能を活用し、キーボードでのパスワード直接入力を最小限にしてください。パスワードマネージャー自体へのアクセスには生体認証を使用することで、キーロガーのリスクをさらに低減できます。
• 03
  セキュリティソフトのリアルタイム保護を有効にする：アンチウイルスやEDRソリューションのリアルタイムスキャン機能を常に有効にし、キーロガーのインストールやフッキング動作を検知・ブロックしてください。定義ファイルの更新も自動化しましょう。
• 04
  公共端末での機密情報入力を避ける：インターネットカフェやホテルの共有PCなど、管理状態が不明な端末ではオンラインバンキングやパスワードの入力を行わないでください。ハードウェアキーロガーが設置されている可能性があります。
• 05
  USB接続の物理的確認：特に共有環境やオフィスでは、キーボードのUSB接続部に不審なデバイスが挿入されていないか定期的に目視確認してください。見慣れないUSBアダプタやコネクタがある場合は直ちにセキュリティ担当者に報告しましょう。
• 06
  OSとアプリケーションの最新化：OSやブラウザを常に最新バージョンに保ち、キーロガーが悪用する脆弱性を修正してください。特にブラウザ拡張機能は定期的に見直し、不要な拡張機能や提供元不明の拡張機能は即座に削除しましょう。