ダークウェブってなに？
情報流出への備えと、もしものときの対処法
みなさんは、ダークウェブと聞くとどのようなことをイメージするでしょうか。特定の人だけが利用していて、自分とは無関係の存在ととらえているかもしれません。しかし、ダークウェブでは一般のネット利用者が損害を被ってしまう情報もやり取りされています。ダークウェブがなにかを知り、脅威と対策についても押さえましょう。
ダークウェブはディープウェブの一部
最近、新聞やテレビなどのメディアで「ダークウェブ」や「ディープウェブ」という言葉を見聞きすることが増えてきました。ダークウェブとはどんなものでしょうか。それを理解するために、まずはインターネット上のWebサイトの区分について知っておきましょう。
インターネット上のWebサイトは、「サーフェイスウェブ（表層Web）」「ディープウェブ（深層Web）」の2つに大別されます。サーフェイスウェブは、Google やYahoo!などの検索エンジンで探すことができ、一般のWebブラウザで閲覧できる領域です。一方、ディープウェブは、GoogleやYahoo!などの一般の検索エンジンで探してもヒットしない領域で、そこには正規のWebサイトも含まれます。たとえば、ログインを要する会員制サイトやSNSの非公開ページなどがそれにあたります。そして、ディープウェブには専用のツールもしくはサービスを使用しなければアクセスできない領域もあります。この特別なネットワーク領域には、Webコンテンツへアクセスする際の匿名性保持や追跡回避、さらにサイト自体の匿名性を実現する技術を使用しているものもあり、この領域に存在しているWebサイトをダークウェブと呼びます。
サーフェイスウェブはネットの世界のほんの一部に過ぎず、大部分はディープウェブです。これらの関係はしばしば氷山に例えられます。氷山は、海上に見えている部分が全体の1割程度に過ぎず、9割は海上から見えない海中にあります。ネットの世界も、誰もがアクセスできるサーフェイスウェブに比べて、ディープウェブの割合が圧倒的に大きいのです。
ダークウェブが違法な取引や犯罪の温床に
ダークウェブへのアクセス手段として用いられる代表的なツールの1つが「Tor（The Onion Router）」です。Torは、もともと米海軍調査研究所が軍用の秘匿通信のために考案した技術をベースとしており、通信元の特定を困難にするという特徴があります。民間利用のためソースコード（プログラムの情報）が公開されてからは、ネット上の言論の自由とプライバシーの保護のために利用されてきました。Torを利用すれば、匿名による通信を実現できるため、厳しいネット規制を敷く国や地域のネット利用者が情報をやり取りするための手段にもなっています。
ただ、悪事を企てるサイバー犯罪者にとっても匿名性や追跡回避機能は好都合です。彼らは自身の不正サイトの設置場所などを特定されないよう、ダークウェブを利用します。ダークウェブ上の不正サイトの典型例が闇市場です。そこでは、違法な品や情報、Webコンテンツ、マルウェア（ウイルスなどの悪意を持ったソフトウェアの総称）自体やそれらを作成するためのツールキット、サービスとしてのマルウェアなども流通しています。その中には、フィッシング詐欺やインターネット事業者へのサイバー攻撃などをきっかけに流出したクレジットカード情報や、メールアドレス、住所、電話番号などの個人情報のリスト、認証情報（IDやパスワード）、銀行口座番号などが売買されるWebサイトも存在するのです。
図：闇市場におけるクレジットカード情報販売画面の例、クレジットカードの種類や有効期限、名義、住所と、誕生日、電話番号などの有無が表示されています
また、流出した情報が企業によるサイバー攻撃被害の公表前に闇市場でやり取りされていた事例も確認されています。このことから、被害者が自身の情報漏えいを認知する前に、個人情報やクレジットカード情報を悪用される危険性もあることがわかります。
図：闇市場サイトで確認された、取引可能な流出情報を列挙した投稿の例、情報流出元サイトとその業種、データ量、入手日、データの詳細な内容などが記載されており、この投稿では国内ECサイトから流出した情報が被害公表前に記載されていた事が確認されています
ダークウェブを介したサイバー犯罪対策とは
私たちはダークウェブとどのように向き合うべきでしょうか。危険ではないコンテンツも存在するものの、違法性の高い物品や窃取された情報などもやり取りされるダークウェブには興味本位に近づかないことが肝要です。加えて、ダークウェブを介したサイバー犯罪への対策も講じなければなりません。以下の3つのポイントを押さえましょう。
1.アカウントを厳重に管理する
- パスワードを使い回さない
サイバー犯罪者は、ダークウェブなどを介して入手した認証情報（IDとパスワード）を用いて各種サービスへのログインを試みます。このため、複数のサービスに同一のIDとパスワードの組み合わせを使い回していると、アカウントを芋づる式に乗っ取られるリスクを高めてしまいます。
- 二要素認証などを利用する
各サービス事業者が提供する二要素認証などのセキュリティを強化する機能を活用しましょう。二要素認証を利用した場合、サービスのログイン時にIDとパスワードに加え、SMSや専用アプリなどで取得できる認証コードも入力しなければならないため、第三者がサービスに不正アクセスすることは難しくなります。しかし、最近のフィッシング詐欺の手口では二要素認証情報を奪われるケースもあるため、注意が必要です。
2.不要になったサービスを解約する
利用しなくなったサービスのアカウントを残していても不正利用や情報漏えいのリスクになるだけです。クレジットカード番号などの金銭がらみの情報や個人情報を削除、あるいはダミーの情報を上書きした上でサービスを解約しましょう。アプリがある場合は、解約後にアンインストールしましょう。
3.公式の情報を参照する
利用しているサービスで情報漏えいが発覚した場合は、公式の注意喚起や案内を必ず参照してください。通常、どんな情報が、いつ、どうやって漏えいしたか、どのようなリスクがあるか、アカウントが現在どうなっているかといった内容が掲載されています。冷静に対処するためには、まず正しい情報を入手することが大切です。
4.セキュリティ対策製品を利用する
偽サイトやフィッシング詐欺サイトで誤って情報を入力してしまったり、マルウェアによって情報を窃取されてしまったりするリスクを下げるためには、PCやスマホ、タブレットにセキュリティソフトやアプリをインストールしておくことが不可欠です。昨今のフィッシング詐欺や偽サイトは、一見しただけで真偽を見分けられないほど巧妙化しています。ネットを利用する機器には必ずインストールしておき、最新の状態に保って利用しましょう。家庭内でのみ利用するタブレットやネットにつながるゲーム機などは、ホームネットワーク全体を保護するセキュリティ製品で守りましょう。
また、サイバー犯罪者はさまざまな方法で取得したクレジットカード情報や個人情報のリストを自ら悪用するだけでなく、ダークウェブ上の闇市場で売買することもあります。さらに対策を強化したい方は、ダークウェブモニタリングなどと呼ばれるセキュリティ製品も利用しましょう。これは、あらかじめ登録されたクレジットカード番号やメールアドレスなどのネットへの情報流出を検知すると、利用者に通知してくれます。これをもとに適切に対処すれば、被害を最小限にとどめられます。
情報流出に気づいたときの対処法
もし、自身のクレジットカード情報やアカウント情報、メールアドレス、銀行口座番号、運転免許証番号、パスポート番号などがネット上に流出してしまった場合、どのように対処すべきでしょうか。
クレジットカード情報
クレジットカード情報の流出に気づいたら速やかにカード会社へ連絡し、利用停止の届け出を行ってください。利用明細に身に覚えのない不審な取引を確認した場合もカード会社や警察に連絡しましょう。最低でも月一回は利用明細を確認する習慣をつけておくことが重要です。
また、ネットでのクレジットカード利用が不安な場合はネット決済専用のバーチャルカードの利用も検討しましょう。カード番号を任意のタイミングで変更できるため、不正利用対策として有効です。
認証情報
サービスの認証に用いるIDとパスワードの組み合わせが流出すると、第三者にアカウントを乗っ取られる可能性があります。該当するサービスのパスワードはもちろん、可能であればIDも速やかに変更してください。もし、複数のサービスで同じ組み合わせを使用している場合、すべて一意のものに変更しておくことも重要です。
パスワードの作成や管理にストレスを感じている方は、パスワード管理ツールの利用も検討しましょう。トレンドマイクロは、パスワード管理ツール「パスワードマネージャー」の無料体験版を提供しています。
メールアドレス
メールアドレスが流出すると、迷惑メール（スパムメール）が届きやすくなるかもしれません。実際、2019年には大手家電メーカーのECサイトから漏えいした情報を悪用して、詐欺サイトに誘導するメールが複数回送られた事例が報告されています。漏えいしたメールアドレスの変更が困難な場合は、迷惑メールを検出し、それらを自動で隔離してくれるフィルタリング機能を活用しましょう。また、メールアドレスはサービスにログインする際のIDとしてよく用いられます。そのIDに紐づくパスワードもセットで流出している可能性があるため、念のためパスワードを変更しておきましょう。
新規でサービスに登録する場合は、漏えいしても影響が限られるよう、重要なやり取りには利用しない登録専用のメールアドレスを用意しておくのも一案です。
銀行口座番号
銀行口座番号と、金融機関名や支店名、口座名義などの情報がセットで流出してしまうとトラブルに巻き込まれる危険性があります。たとえば、その口座にお金を振り込み、後日、法外な利息とともに返済を求める悪徳商法もあります。銀行口座番号の流出に気づいたら、金融機関に相談するとともに、身に覚えのない入出金がないかどうかを確認しましょう。
運転免許証番号、パスポート番号
運転免許証番号やパスポート番号などの個人を特定できる情報は、他の情報と組み合わせて詐欺行為に悪用される可能性があります。また、大規模な情報漏えい事件に便乗して、「あなたの情報が漏えいしている」「漏えいした情報を削除できる」などとネット利用者をそそのかし、金銭をだまし取ろうとした事例も報告されています。もし不審な連絡を受けた場合は、速やかに最寄りの消費者センターに相談しましょう。
