2019年5月28日
常識を疑え！ハッカー視点のセキュリティ
筆者）株式会社トライコーダ 上野宣
第１５回 ディープ＆ダークウェブにある流出情報をどのように調べるのか
インターネット上のウェブサイトすべてが一般的なGoogleやYahoo!などの検索エンジンで探すことができるわけではありません。検索エンジンには引っかからないウェブサイトも多数あります。特に「ディープウェブ（Deep web）」や「ダークウェブ（Dark web）」と呼ばれるウェブサイトはその代表的なものです。
中でもダークウェブは「闇サイト」などとも表現されることがあり、犯罪などの温床になっているイメージもあります。もしかしたらそこでは、あなたの会社の機密情報などがやり取りされているかもしれません。事業におけるリスクを事前に察知するためにも、それらを調べることはできるのでしょうか。
ディープウェブとダークウェブ
「ディープウェブ（Deep web）」というのは、有償や無償に係わらず会員登録などが必要でパスワードを入力するなどしないと見ることができないウェブサイトのことです。認証が必要なため検索エンジンのクローラーがたどり着くことができません。そのため、検索してもそのウェブサイト上の情報にたどり着くことはできません。「深層ウェブ」と呼ばれることもあります。
「ダークウェブ（Dark web）」というのは、通常のインターネット上には存在していますが、ウェブサーバーのIPアドレスが秘匿されているため、特定のソフトウェアを使わないとアクセスできないウェブサイトのことです。代表的なダークウェブとしてはTor（https://www.torproject.org/）のネットワークを使ったものが挙げられます。特定のソフトウェアがないとアクセスすることができないため、検索エンジンのクローラーもたどり着くことができません。
これら2つを合わせて「DDW（Deep & Dark Web）」と表現されることもあります。これらに対して一般的な検索エンジンで、だれでも見ることができるウェブサイトは「サーフェイスウェブ（Surface web）」や「表層ウェブ」と呼ばれています。
ディープウェブは会員登録が必要な掲示板サイトや有料の新聞記事であったり、個人が利用するウェブメールなども含まれますので、違法なものを指すわけではありません。インターネット全体の99％はディープウェブだという表現もあるようです。
ダークウェブも必ずしも違法なものばかりあるわけではありませんが、その多くは違法なものであるというのが現状です。児童ポルノや薬物などの取引、盗まれたIDやパスワードなどの認証情報や知的財産などの機密情報の売買、犯罪者の情報交換などが行われる場として活用されています。
もしかすると、DDWでやり取りされている情報の中には、あなたの会社から盗まれたものもあるかもしれません。しかし、通常の検索エンジンでは調査することができないため、気が付かないまま見逃してしまうことがほとんどです。
もし、そういった情報を知ることができれば、あなたの会社の事業リスクを事前に察知することができます。
ディープ＆ダークウェブの調査
ディープウェブを調査するためにはユーザ登録などをしなければなりませんし、ダークウェブを利用するためにはTorのようなソフトウェアを導入する必要があります。そもそも膨大な数のウェブサイトがあるので、少しばかり調査をしたところで必要な情報を見つけられるとは限りません。
また、アンダーグラウンドのウェブサイトを利用するには違法なウェブサイトに金銭を支払わなければいけないことがあったり、ダウンロードした資料などにマルウェアなどが仕掛けられていたり、自分自身が新たな被害者になってしまう可能性すらあります。自らDDWの中を調査するのはあまり勧められません。
ここ何年かで注目されているセキュリティサービスとしてディープ＆ダークウェブの検索を行えるようにしたインテリジェンスサービスがあります。代表的なものとしては米Flashpoint社の「Flashpoint インテリジェンス・プラットフォーム (https://machinarecord.com/cyber/flashpoint/)」が挙げられます。
これらのサービスは専門家が複数のDDWへのアクセスを獲得して、さまざまなコンテンツを収集します。そして、それらを検索可能にし、その情報を基にして分析したレポートが提供されるといったサービスです。たとえば、データベースから漏洩したアカウント情報や個人情報などがないかを監視し、会社の機密情報などが流出していないかどうかを調査することが可能になります。
事業のリスクを軽減するためには情報収集を欠かすことはできません。まだこういったインテリジェンスサービスは広がり始めたばかりですが、先手を打つためにも導入を検討してみるのはいかがでしょうか？
