Hola Browser にクリプトマイナー混入、Sophos が発見—サプライチェーン侵害の手口とは

Last Updated on 2026年6月8日 by Co-Founder/ Researcher

2026年6月4日に公開された Sophos X-Ops の報告によると、同社はAppEsteemのWindows認証アプリケーション・テストに関連する作業のなかで、Hola Browser（バージョン1.251.91.0）に同梱されていた未申告の実行ファイルme.exeを特定した。

me.exeは認証済みコンポーネントとして申告されておらず、コード署名やタイムスタンプがなく、難読化コードとメモリ書き込み機能を備えていた。SophosはこれをPUAとして検出し、別途テレメトリで同一の成果物を捕捉した。このバイナリはXMRigベースのクリプトマイナーとみられ、管理者権限で実行されるとHolaMonitorService.exeを作成し、hola_monitor_svcというサービスを登録する。Sophosの検出名はTroj/GoMiner-Bである。SophosがAppEsteem経由で問題を提起した後、Holaは配信パイプラインを修正した。Holaの最高経営責任者アビ・ラズ・コーエン氏は、独立系企業Sygniaの調査でサプライチェーン侵害と確認され、影響は利用者の0.1%、利用者データの侵害はなかったと回答した。

From: You do surprise me.exe: An unexpected executable in Hola Browser

【編集部解説】

まず押さえておきたいのは、今回の「招かれざる客」が利用者をだまして送り込まれたのではなく、配信の仕組みそのものが侵害されて届けられたという点です。利用者は正規の Hola Browser を入手したつもりでも、配信経路の途中で別の実行ファイルが紛れ込んでいた。これがサプライチェーン侵害と呼ばれる攻撃の本質です。

ここで「サプライチェーン」という言葉に補足が必要でしょう。ソフトウェアは開発環境でビルドされ、パッケージ化され、CDN（世界中に分散した配信網）を経て、ようやく利用者の端末に届きます。今回問題が生じたのは、この「製造から配達まで」の流れのどこかでした。Sophos が鋭いのは、テストのたびに me.exe が出たり出なかったりした事実に着目した点です。インストーラーが一律に書き換わっていれば毎回検出されるはずで、出方にムラがあること自体が、固定的な改ざんではなく、ビルド経路・CDN・リリースパイプライン設定などの差異を強く示唆していました。

クリプトマイナー（暗号資産の採掘プログラム）が狙うのは、あなたのデータではなく、あなたの電気と計算資源です。今回のものは、主にモネロ採掘に用いられる XMRig をベースにしたものとみられ、利用者が席を立ってPCがアイドル状態になったときだけ静かに稼働するよう設計されていました。気づかれにくくする工夫であり、被害者は電気代の増加やPCの発熱・劣化という形で、知らぬ間にコストを肩代わりさせられます。

さらに巧妙なのが、Windows Defender の除外リストに自分を登録し、サービスとして常駐する仕組みです。一度入り込めば検出を回避し、再起動後も生き残る。Sophos が Troj/GoMiner-B として分類したこの挙動は、「気づかれず・消されず・採掘し続ける」という攻撃者の経済合理性を体現しています。

ここで、参照元の Sophos 記事があえて踏み込まなかった文脈を補っておきましょう。Hola は今回が初めての火種ではありません。2015年、同社は子会社 Luminati を通じて、無料利用者の「アイドル帯域」を第三者へ販売していたことが発覚しました。当時、その仕組みが利用規約やFAQで十分に明示されていなかったことが批判を集め、巨大なプロキシ網が画像掲示板8chanへのDoS攻撃に悪用される事態にもつながりました。一連の騒動では約900万規模のIPがブロック対象になったと報じられています。つまり Hola は「利用者の資源を別の誰かのために使う」構造と長く隣り合わせてきた企業なのです。

その背景を踏まえると、今回のクリプトマイニング事案は「外部の攻撃者による単発の不運」とだけ片づけてよいのか、という問いも浮かびます。もちろん、今回は Hola 自身が被害者であり、サプライチェーン侵害として迅速に対処したことは事実です。ただ、利用者の計算資源が知らぬ間に他者の利益のために使われるという構図は、奇しくも同社の過去の論争と重なって見えます。

一方で、注目したいのは、これが「どう見つかったか」です。発見は Sophos の偶然ではなく、AppEsteem という認証団体の定期テストという仕組みが機能した成果でした。複数の独立したセキュリティベンダーが認証済み製品を相互に検証し合う。その網に配信経路の異常が引っかかったわけです。

つまりこれは、サプライチェーン攻撃の怖さを示す事例であると同時に、それを防ぐ「業界横断の検証エコシステム」が実際に働いた成功事例でもあります。Hola 側も問題を認め、独立系フォレンジック企業 Sygnia を入れて調査し、パイプラインを再構築しました。深刻化する前に上流で塞がれた着地は、評価に値するでしょう。

ただし留意点もあります。「影響は利用者の0.1%」「データ侵害なし」という数字は、いずれも Hola 側の自己申告に基づくものです。Sygnia の調査がこれを裏付けたとされますが、第三者がこの範囲を完全に独立検証して公表したわけではありません。報道を読む側として、この区別は冷静に保っておきたいところです。

長期的に見れば、この一件は「正規のソフトでも配信経路を信用しきれない時代」を突きつけています。署名されたコンポーネントだけが確実に届く仕組み、ビルドからCDN、端末までを暗号的に検証する「再現可能なビルド」や来歴（プロベナンス）の保証といった技術が、今後ますます流通の前提になっていくはずです。完成品を一度検査して終わりではなく、配信され続ける限り検証し続ける——そうした継続的な信頼の担保こそ、ソフトウェア・エコシステムの新しい常識になっていくでしょう。

【用語解説】

サプライチェーン侵害（Supply Chain Compromise）
ソフトウェアが利用者に届くまでの「製造から配達」の経路（ビルド、パッケージ化、配信網など）のどこかが攻撃者に乗っ取られ、正規の製品に不正なコンポーネントが紛れ込まされる攻撃である。利用者は正規ルートで入手したつもりでも被害に遭う点が厄介。

クリプトマイナー（Crypto-miner）
暗号資産（仮想通貨）を採掘するためのプログラムである。本件のように無断で他人の端末に仕込まれた場合、被害者の電力と計算資源を勝手に消費して攻撃者の利益に変える「クリプトジャッキング」となる。

XMRig
暗号資産モネロ（Monero）の採掘に主に用いられるオープンソースのマイニングツールである。本来は正規用途のソフトだが、匿名性の高いモネロと相性がよく、不正マイニングに悪用される代表例として知られる。

PUA（Potentially Unwanted Application／望ましくない可能性のあるアプリケーション）
明確なマルウェアとは断定できないが、利用者にとって望ましくない挙動を示す可能性のあるソフトを指すセキュリティ業界の分類である。本件の me.exe は当初この分類で検出された。

コード署名（Code Signing）
ソフトの配布元が本物であり、改ざんされていないことを暗号技術で証明する仕組みである。署名がないバイナリは出所と完全性が保証されず、本件で疑念を招いた要因の一つとなった。

CDN（Content Delivery Network／コンテンツ配信網）
世界中に分散配置されたサーバー群を通じて、利用者に近い拠点からデータを配信する仕組みである。配信を高速化する一方、経路の一部が汚染されると地域や条件によって配信内容にばらつきが生じうる。

フォレンジック調査（Forensic Investigation）
セキュリティ侵害の発生後、原因・経路・影響範囲を解明するためにデジタル証拠を保全・分析する調査である。本件では Sygnia がこれを担った。

AMTSO（Anti-Malware Testing Standards Organization）
マルウェア対策製品のテスト手法に関する標準づくりを担う国際的な業界団体である。AppEsteem はこの AMTSO の認定を受けた組織。

【参考リンク】

Sophos 公式サイト（外部）
ネットワークおよびエンドユーザー向けセキュリティを手がける世界的大手。本件を発見・報告した企業である。

Sophos X-Ops（外部）
SophosLabs、SecOps、Sophos AI などの専門チームを横断的に統合した脅威リサーチの合同タスクフォース。本記事の執筆主体だ。

AppEsteem（外部）
2016年に米ワシントン州ベルビューで設立された、ソフトの挙動を認証・指摘する組織。本件発見の契機となった認証テストを運用する。

AMTSO（Anti-Malware Testing Standards Organization）（外部）
マルウェア対策テストの標準を策定する国際業界団体。AppEsteem を認定している組織である。

Sygnia（外部）
テルアビブ、ニューヨーク、シンガポール、ロンドンなどに拠点を持つインシデント対応・フォレンジックの専門企業。本件で Hola から調査を依頼された。

Hola Browser（公式）（外部）
本件の対象となった Hola Browser の公式ダウンロードページ。提供元はVPN／プロキシ型のサービスを展開している。

【参考記事】

Hola Browser for Windows compromised to deliver cryptominer（BleepingComputer）（外部）
マイナーの挙動を整理し、影響は利用者の約0.1%、データ侵害の証拠なし、パイプラインを完全再構築したとのCEO発言を伝える詳報。

Hola Browser supply chain breach delivered crypto-miner to users（CyberInsider）（外部）
署名・タイムスタンプ欠如など不審点を詳述。Sygnia起用のフォレンジック調査でデータ侵害なしと報じた記事。

Hola Browser Windows Delivery Pipeline Hijacked to Deploy Cryptominer（GBHackers）（外部）
認証済みハッシュと検体を対比し検出名Troj/GoMiner-Bを明記。来歴保証の必要性という教訓を示す技術詳報。

Hola browser supply chain attack delivers cryptocurrency miner（SC Media）（外部）
未署名・難読化・常駐サービス化など要点を簡潔にまとめ、検出されたマイナーがモネロ採掘用だと伝える速報。

If You Are Using Hola VPN, You Need To Know This（TechTimes, 2015年）（外部）
2015年にHolaが子会社Luminati経由で帯域を販売し、その仕組みの不透明さやDoS悪用が批判された経緯を伝える記事。

【Crypto Verse関連記事】

本記事のHola Browser事案・サプライチェーン侵害・クリプトマイナー・XMRigによるMonero採掘の構造的背景をより深く理解するための、Crypto Verseの関連解説記事をご案内します。

【マルウェア・詐欺の構造解剖領域】

• XRPクラウドマイニング最新情報：高利回りの実態と詐欺リスク検証 → 本記事のクリプトマイナーがバックグラウンドで計算資源を盗用する構造と対比的な、「正規サービスを装ったクラウドマイニング詐欺」の経済モデルを解剖。マイニングを介した資金収奪スキームの全体像を理解できます。
• 暗号資産ネットワークビジネスの経済構造：ポンジ・スキームの数理とオンチェーンデータの検証 → 本記事の「利用者の資源（電力・計算資源）を他者の利益に転用する」という構造と、ポンジ・スキームにおける「後発参加者の資金を既存参加者に転用する」という構造の数理的共通性を解説。
• 仮想通貨詐欺の手口と対策【2026年最新】絶対に騙されない完全防衛マニュアル → 本記事のサプライチェーン侵害（配信経路の汚染）と並ぶ、フィッシング・偽ソフトウェア・偽サポート等の代表的な攻撃手口を網羅。「公式」を偽装する詐欺の全パターンを構造化しています。
• AIトレードボット詐欺の構造とリスク：『年利保証』と『ブラックボックス』に隠された罠 → 本記事の「コード署名なし・難読化された実行ファイル」というブラックボックス性と同様、内部動作が検証不能なソフトウェアに資産を委ねるリスクを解剖。検証可能性こそが信頼の前提であることを示します。

【セルフカストディ・自己防衛領域】

• 暗号資産（仮想通貨）のトラブル対応と防御策：ハッキング・詐欺から資産を守るWeb3セキュリティ構造を徹底解説 → 本記事のクリプトマイニング感染を含む、Web3における各種セキュリティインシデントへの対応構造を体系化。自己管理（セルフカストディ）原則下で何を防衛すべきかを整理しています。
• 【緊急】暗号資産が盗まれた時の対応マニュアル：被害拡大を止める7ステップ【2026年最新版】 → 本記事のクリプトマイナーは資産を直接盗まないものの、感染端末に保管された秘密鍵・ウォレットファイルへの二次的脅威は存在します。マルウェア感染端末を介した資産盗難への即時対応手順を解説。
• 暗号資産の守り方：ウォレット・秘密鍵・セキュリティ対策【2026年最新版】 → 本記事のような端末感染リスクに対する、ハードウェアウォレット・コールドストレージ・OS隔離等の多層防衛戦略の基礎。「感染しても資産は守る」アーキテクチャを理解できます。
• 秘密鍵（Private Key）のアーキテクチャ解剖：所有権の数学的証明と「資産防衛」のインフラ設計 → 本記事のコード署名問題と対比的に、暗号鍵による所有権証明の数学的基盤を解説。署名なしバイナリがなぜ危険か、署名がなぜ信頼の起点となるかを根本から理解できます。
• ビットコインセルフカストディの技術的本質：UTXOモデル・マルチシグ・プライバシー保護【2026年最新版】 → 本記事のような汎用端末への脅威を前提に、マルチシグ・エアギャップ・分散保管といった「端末を信用しない」前提でのカストディ設計を解説。
• 仮想通貨ウォレットの復旧方法とは？リカバリーフレーズ・秘密鍵による復元手順を徹底解説【2026年版】 → 本記事のような端末侵害が発生した場合の最終防衛線である、リカバリーフレーズによるウォレット再構築手順とBIP39/BIP44規格の技術構造を解説。

【DeFi・スマートコントラクトのリスク領域】

• DeFi（分散型金融）のリスク一覧：スマートコントラクト・インパーマネントロス・オラクル攻撃の構造 → 本記事のクライアント側（エンドポイント）のサプライチェーンリスクと対比される、オンチェーン側（スマートコントラクト）の構造的リスク。両者を組み合わせて理解することでWeb3全体の脅威モデルが完成します。
• 【完全版】NFTスマートコントラクトのセキュリティ構造：クロスチェーン脅威と多層防衛アーキテクチャの解剖 → 本記事のような攻撃検知における「業界横断の検証エコシステム」と同様、多層防衛・相互検証という設計思想の重要性を、スマートコントラクト領域で解説。
• MetaMaskの「Approve（承認）」を理解する：技術的仕組みとセキュリティ対策【2026年版】 → 本記事のサービス常駐化・Defender除外登録といった「権限の付与」と類似する、Web3における承認権限の構造を解説。気づかれずに付与される権限の危険性を理解できます。

【AI・自律エージェントのセキュリティ領域】

• AIウォレットは安全か？危険性とリスク・オンチェーン防御構造を完全解剖【2026年最新版】 → 本記事のような「気づかれない自律実行（マイニング常駐サービス）」の発展形として、AIエージェントが自律的にトランザクションを実行する2026年型リスクを解説。
• AIウォレットの詐欺事例と手口：スキャムの実態と完全防衛マニュアル【2026年最新版】 → 本記事のサプライチェーン侵害がAIエージェント文脈で発生した場合の脅威モデル。AI判断ロジックそのものが汚染された場合のリスク構造を整理。
• AIエージェントの暴走と法的責任：Web3における自動取引の「グレーゾーン」とコンプライアンスリスク → 本記事のHola Networks社が「自己申告ベース」で影響範囲を発表した事案と類似する、AIエージェント関連事故における責任の所在と法的グレーゾーンを解説。

【量子・暗号技術の基盤領域】

• Google Quantum AIがBitcoin暗号を9分で解読可能と発表—3本の論文が量子脅威の常識を塗り替えた → 本記事のコード署名（楕円曲線暗号ECDSAベース）が前提とする暗号技術の、量子コンピュータによる将来的な脆弱化リスクを解説。署名の信頼性そのものが変容する未来を展望できます。
• Bitcoinのポスト量子対応はなお初期段階—Google論文が浮き彫りにした移行の遅れ → 本記事のコード署名インフラと同様、暗号技術基盤の移行が現実の運用システムでは遅れがちな構造的理由を解説。

【プログラマブル通貨・検証可能性領域】

• プログラム可能な通貨と検証可能なコード：2026年における次世代金融インフラの構造解剖 → 本記事の「完成品を一度検査して終わりではなく、配信され続ける限り検証し続ける」という結論と通底する、検証可能性（Verifiability）こそが次世代インフラの核心であるという視点を提示します。
• XRP Ledger、AIで脆弱性を先手で潰す——Rippleが示す金融インフラ防衛の新標準 → 本記事のAppEsteem認証テストによる発見と同様、能動的・継続的な脆弱性検査がインフラ防衛の新標準となる流れを別領域（パブリックチェーン）で示した事例。

【編集部後記】

私たちが普段ソフトをインストールするとき、頭にあるのは「公式サイトかどうか」という一点くらいかもしれません。けれど今回の一件は、その「公式」の内側にも、ビルドからパッケージ化、配信網を経て手元に届くまでの長い道のりがあり、そのどこか一点が汚染されただけで信頼の前提が崩れうることを示しました。ソフトウェアはもはや「完成品を一度受け取るもの」ではなく、配信され続ける「流れ」の中にある——この変化が、攻撃者にとっても新しい入り口になっているのだと感じます。

一方で、この問題を最初に見つけ出したのが特定の一社の手柄ではなく、認証団体と複数のセキュリティベンダーが互いの結果を突き合わせる「仕組み」だった点には、希望を見たい気持ちになります。完成品を一度検査して終わりにするのではなく、配信され続ける限り検証し続ける。そうした地道な相互チェックの積み重ねこそが、便利さと安全のあいだで私たちが拠って立てる、数少ない確かな足場なのかもしれません。

——————–
※本記事は情報提供を目的としており、投資助言ではありません。
　詳細は当サイトの免責事項をご確認ください。
——————–