2025.11.14第27回「漏れたデータはどうなる？」
～ダークウェブで売られ、攻撃に使われるまで～
他社のシステムに侵入する『ペネトレーションテスト』を業務とする筆者が、攻撃者の目線でセキュリティ対策について考えます。
株式会社トライコーダ 代表取締役
上野 宣 氏 氏
奈良先端科学技術大学院大学で情報セキュリティを専攻。2006年に株式会社トライコーダを設立。ハッキング技術を駆使して企業などに侵入を行うペネトレーションテストや各種サイバーセキュリティ実践トレーニングなどを提供。
漏洩は終わりではなく、新たなサイバー攻撃の始まり
サイバー攻撃などで企業の情報が漏洩してしまっても、それは“終わり”ではありません。そこから始まる新たなサイバー攻撃のシナリオがあります。近年では、漏洩した情報が複数の攻撃に再利用される傾向があり、被害が長期化する事例も報告されています。
このような被害を防ぐためにも、漏洩した情報が「ダークウェブ」で売られ、悪用されるまでの一連の流れを把握し、どのような対策を講じておかなければならないのかを知っておきましょう。
ダークウェブとは何か？
ダークウェブはインターネットの一部ですが、通常のブラウザや検索エンジンではたどり着くことができない、特別なブラウザでのみアクセスできるサイバー空間です。元はアメリカ海軍の研究機関によって、政府関係者がインターネット上で匿名性を保ちながら通信できるようにするために開発されました。
しかし、その匿名性の高さからサイバー犯罪者に悪用されることが多く、以下のような情報を取り扱う違法な取引も行われています。
- 漏洩した個人情報（メールアドレス、パスワード、クレジットカード情報など）
- マルウェアやゼロデイ脆弱性情報
- 偽造IDやパスポート
- 犯罪ノウハウ
- 違法薬物 など
一般企業で起きた情報漏洩においても、攻撃者によってダークウェブに情報が持ち込まれ、世界中のサイバー犯罪者に向けて商品として取引されてしまうのです。
どんなデータが狙われているのか？
- ログイン情報
社内システムやクラウドサービスのID・パスワードなどは、企業で使い回されることが多いため、少し古い情報でも不正アクセスに利用される可能性が高く、非常に価値のある情報としてやりとりされます。 - 顧客情報、従業員情報
名前やメールアドレス、住所、電話番号、ID情報などは、攻撃のターゲット選定やフィッシング詐欺などに利用できる情報として悪用されます。 - 社内ネットワークへのアクセス情報
VPNやリモートデスクトップの接続情報などは、漏洩すると外部から社内ネットワークに侵入するための入口となります。
ダークウェブで売られた情報はどのように使われるのか？
ダークウェブでは「○○企業の管理者アカウントを数万円で」などと販売され、興味を持った攻撃者が購入します。支払いには、匿名性が高く追跡が困難になるように暗号資産（仮想通貨）が使われています。このような取引では、売り手も買い手も犯罪者であることから、互いに信頼が重要になってきます。例えば、売り手は情報が本物であることを示すためにサンプルデータなどを公開することもありますが、もちろんこれらの売買行為は日本を含む多くの国で明確な違法行為となります。
そして入手した情報を使って、不正ログインやなりすまし、社内ネットワークへの侵入を試みます。特に多いのは、以下のような攻撃です。
- ランサムウェア攻撃
社内ネットワークに侵入し、ファイルを暗号化して身代金を要求する攻撃です。 - フィッシング詐欺
入手したメールアドレスや個人情報を使い、従業員や取引先に偽メールを送信し、重要情報の入力を促します。 - ビジネスメール詐欺
経理担当者や役員などになりすまし、不正送金を狙うメールを送信する手口です。
日本の中小企業は狙われやすいのか？
「うちは小さな会社だから大丈夫！」というのは、攻撃者にとっては好都合な油断となります。
ダークウェブというと、どこか遠いところで起きている話のように思うかもしれませんが、中小企業にも大きく関わりのあることです。
中小企業は大企業に比べてセキュリティ対策が甘いことが多く、なおかつサプライチェーンに連なる中小企業を狙うことで、大企業に対する攻撃の足掛かりにする手法も珍しくありません。
特に次のような傾向にある企業は要注意です。
- IT資産やアカウント情報が把握しきれていない
- 従業員のクラウド利用状況を把握しきれていない
- 脆弱性管理やクラウドの設定ミスが放置されている
- 2要素認証が導入されていない
情報漏洩を防ぐために何をすべきか？
1 パスワードの使い回し禁止と2要素認証（MFA）の導入
IDとパスワードだけの認証では、漏洩情報からの不正アクセスを防ぐことができません。スマートフォンなどを使った2要素認証やMFA（Multi-Factor Authentication）を利用するようにしましょう。
PCやシステムのアカウントだけではなく、ネットワーク機器などのアカウントにも注意が必要です。
2 IT資産の見える化（ASM）
自社が保有するIT資産を洗い出し、管理できていない「抜け漏れ」をなくすことが大切です。
ASM（Attack Surface Management）という仕組みを活用すれば、外部から見えてしまっている資産の把握が行えます。
3 クラウド設定の見直し
誤設定されたクラウド環境は、外部から丸見えになっている可能性があります。アクセス制御の設定や2要素認証の導入を確認しましょう。
4 従業員教育の継続
標的型メール訓練などを定期的に行うことによって、最後のとりでである従業員のセキュリティリテラシーを向上させましょう。
情報漏洩は単なる一時的な事故ではありません。漏れた情報は攻撃者にとって金になる資産であり、次のサイバー攻撃の種として再利用されます。
ダークウェブ上で自社情報が流通していないかを確認する専門サービス（ダークウェブモニタリングのようなサービス）もあります。まずは自社の情報がどこで、どのように扱われているかを見直すことから始めるとよいでしょう。
（「SKYSEA Client View NEWS Vol.104」 2025年9月掲載）