キーロガーとは？ キーボード入力を盗む仕組みと、パスワードを守る対策

総務省の用語集では、キーロガーは「キーボードからの入力を記録するソフトウェア」と説明されています。総務省は、情報漏えいを引き起こすタイプのマルウェアとして、キーボードで入力した情報を記録するキーロガーを挙げています。IPAが翻訳監修した米国NISTのマルウェア対策ガイドによると、キーロガー（キーストロークロガー）は、メールの内容、ユーザー名とパスワード、クレジットカード番号や暗証番号などの金融情報を記録することがあります。攻撃者が取りに来るのを待つものも、メールやファイル転送で記録を別のシステムに送るものもあり、画面キャプチャなど、ほかの記録機能を持つものもあります。

盗まれたパスワードはどう使われる？

盗まれたIDとパスワードは、そのサービスだけでなく、ほかのサービスでも試されます。IPAは、IDとパスワードが漏れる主な要因として、単純なパスワードの推測、ほかのサービスから漏えいしたパスワードの悪用（流出したIDとパスワードのリストを入力して試す「リスト型攻撃」）、フィッシングサイトでの入力を挙げています。IPAの安心相談窓口には不正ログインの相談が多く寄せられ、2025年7月にはそれまでで最も多い144件になりました。パスワードを使い回していると、1か所で盗まれただけで被害が広がります。

どうやって入り込む？

キーロガーは、ほかのマルウェアと同じ経路で入り込みます。

• メールやメッセージの添付ファイル、悪意のあるホームページの閲覧（総務省）。
• 無料のセキュリティソフトなどに見せかけた、信頼できないサイトのプログラム（総務省）。
• ほかのマルウェアのついでに入れられることもあります。NISTのガイドによると、ルートキットはバックドアやキーロガーなどの攻撃ツールを入れる目的でよく使われます。

共用のパソコンに注意

警察庁は、ネットカフェなど不特定多数が使うパソコンでは、IDやパスワードなどを入力しないよう呼びかけています。共用のパソコンに何が入っているかを、利用者が確かめることはできません。

見つけるには

キーロガーは、入っていることを利用者に気づかれないように動くため、画面の変化だけで判断するのは困難です。頼りになるのはセキュリティソフトのスキャンです。ウイルス対策ソフトが動いていれば、通常はパソコンのタスクバーにアイコンが表示されます。パターンファイルを最新にして、定期的にスキャンを実行しましょう（警察庁）。Windowsでは、Windows セキュリティの［ウイルスと脅威の防止］から、フル スキャンや、Windowsを読み込まずに検査する「Microsoft Defender ウイルス対策 (オフライン スキャン)」を実行できます。

疑わしいときの対処

1. その端末では、ネットバンキングやメールなど大事なサービスへのログインを控えます。
2. セキュリティソフトを最新にしてフル スキャンし、見つかったものを削除します。心当たりのないソフトもアンインストールします。
3. スキャンで解決しないときや影響が判断できないときは、データを保存したうえで初期化（再インストール）を検討します（警察庁）。
4. 感染していない別の端末から、大事なアカウントのパスワードを変更します。同じパスワードを使い回していたサービスも変更します。
5. 多要素認証を設定し、ログイン履歴に心当たりのないアクセスがないか確認します。カード番号を入力していたら、カード会社に使用の停止を依頼します（警察庁）。

警察庁は、IDとパスワードが流出してしまったときの対応として、ログインできる場合はすぐにパスワードを変えてアクセス履歴を確認し、不審なアクセスがあればサービスの提供者に連絡するよう案内しています。ログインできない場合は、サービスの提供者にIDの停止や被害状況の確認を依頼します。クレジットカードや銀行口座の情報を登録していたサービスなら、カード会社や銀行に使用の停止を依頼します。

盗まれても入られないための設定

• 多要素認証：IDとパスワードを不正に使われても、それだけではログインできないため、不正ログインの防止に効果があります（IPA）。
• パスキー：パスワードを入力せずに、指紋、顔認証、画面ロックでログインする方式です。パスキーは書き留めたり共有したりできません（Google）。
• パスワードを使い回さない：1つのサービスのパスワードが盗まれても、ほかのサービスまで入られにくくなります。覚えきれないときは、パスワード管理ツールの利用が推奨されています（総務省）。
• OSとソフトウェアを最新に保ち、身に覚えのない添付ファイルやリンクを開かない。

キーロガーは目に見えなくても、盗んだパスワードを役に立たなくすることはできます。多要素認証とパスキーを、大事なアカウントから。