Europol（欧州刑事警察機構）は2026年11月12日（現地時間）、マルウェア「Gootloader」「CastleRAT」「StealC」の配布や運用に使われていた犯罪インフラを、各国の法執行機関と協力して解体したと発表した。国際共同作戦「Operation Endgame」の最新の摘発で、サーバ235台とドメイン257件が対象となっている。押収したインフラからは、被害者の認証情報が640万件規模で見つかったという。
サーバ235台とドメイン257件を押収
発表によれば、法執行機関は発表のあった週に実施した作戦で235台のサーバと257件のドメインを押収し、3種のマルウェアの配布網に大きな打撃を与えた。これらは、法執行機関が民間の協力組織とともに対処したものだとしている。
マルウェアごとの内訳は次のとおりだ。
| マルウェア | 種類 | サーバ | ドメイン | そのほか |
|---|---|---|---|---|
| Gootloader | ドロッパー／ローダー | 14台 | 218件 | 感染サイト681件を修復 |
| CastleRAT | リモートアクセス型トロイの木馬（RAT） | 120台 | 39件 | 被害者データを通知用に共有 |
| StealC | ドロッパー機能を持つスティーラー | 102台 | 記載なし | 2026年6月からの取り組みを継続 |
なお、内訳のサーバ台数を合計すると236台となり、全体の235台とは1台の差がある。発表はこの差について説明していない。逮捕者や家宅捜索の有無、被害額も明らかにしていない。
認証情報は見出しで640万件、本文では600万件超
発表の見出しは、確保した被害者のデータセットを640万件としている。一方、本文では、犯罪者が所有し当局が押収したインフラの中から、600万件を超える被害者の認証情報が見つかったと説明する。
これらのデータは、CastleRATによって認証情報を盗まれた被害者に知らせるため、複数の通知サービスや機関を通じて提供されるという。発表が挙げているのは「HaveIBeenPwned」「DIVD」「CheckjeHack」「NoMoreLeaks」「Sekoia」「The Shadowserver Foundation」「NL-NCSC」の7つだ。提供の開始時期は明らかにしていない。
3種はいずれも侵入や情報窃取の入口になる
まず、Gootloaderはドロッパー／ローダー（ほかのマルウェアを送り込むためのプログラム）と呼ばれる種類だ。改ざんされたWebサイトを通じて偽の法律文書を配布し、コンピュータへの不正アクセスを可能にしていたという。文書をダウンロードした被害者が感染し、その多くはハッキングされたWordPressサイトを経由していたとしている。
続いてCastleRATは、2025年から知られているリモートアクセス型トロイの木馬（RAT）である。発表は、新しい技術的な構造を持ち、柔軟に展開でき、検知を難しくする仕組みを備えていたと説明する。その利用は、多数のデータの暗号化やITシステム全体の停止、身代金の支払いにつながったという。
StealCは、ドロッパー機能を持つスティーラー（情報を盗み出すマルウェア）だ。複数の経路で拡散し、パスワードや保存されたアクセス情報、デジタルIDを抜き取っていた。盗まれた情報はデータの売買や詐欺に使われていたとしている。
6月の摘発に続くOperation Endgameの一環
Operation Endgameの公式サイトには、2026年6月24日付で、「SocGholish」「Amadey」「StealC」のネットワークを対象にしたEuropolの発表が掲載されている。StealCのサーバ102台の解体は、6月からの取り組みの続きという位置づけだ。
発表は、今回の作戦が“cybercrime-as-a-service”（サービスとして提供されるサイバー犯罪の道具）型のモデルを狙ったものだとしている。発表の全文はOperation Endgameの公式サイトで公開されている。
WordPress利用者は認証情報の更新と多要素認証を
発表は、WordPressの利用者に対し、認証情報の更新、多要素認証の有効化、脆弱性の修正を求めている。Gootloaderの感染では、ハッキングされたWordPressサイトが多く使われていたと説明しているためだ。
日本の利用者に向けた個別の案内は、記事執筆時点で発表に含まれていない。被害者への通知がいつ、どの範囲で始まるのかも示されていない。
筆者の見立て
サーバ235台とドメイン257件を一度に止めたことは、3種のマルウェアを使う攻撃者から当面の足場を奪う効果があるとみられる。盗まれた認証情報が通知サービスに渡る点も、被害者が自分で気付ける手段が増えるという意味で評価できる。
ただし、発表は逮捕者に触れておらず、運用者が別のインフラで活動を再開する可能性がある。StealCが6月に続いて再び対象になったことは、一度の摘発では止まりきらなかったことを示しているはずだ。
とはいえ、押収のたびに被害者への通知が進むのであれば、利用者の側で被害を小さくできる余地は広がる。パスワードの使い回しをやめ、多要素認証を設定しておくという基本の対策が、用途を問わず最も確実だと筆者は考える。
まとめ
Europolと各国の法執行機関は、Gootloader、CastleRAT、StealCの基盤となるサーバ235台とドメイン257件を押収し、640万件規模の被害者データを確保した。WordPressでサイトを運営する人と、認証情報の流出が気になる利用者に関係する動きだ。被害者データは通知サービスを通じて提供されるとしているが、開始時期は示されていない。
