ダークウェブ調査の「賞味期限」。漏洩から発見まで、なぜ時間がかかるのか？

近年、情報漏洩対策の一環として「ダークウェブ調査」や「ダークウェブ監視」を導入する企業が増えています。しかし、ダークウェブ上で自社の情報が発見されたという報告を受けた際、「なぜ漏洩から数か月も経っているのか」「もっと早く発見できなかったのか」と疑問に感じる担当者も少なくありません。

実際、ダークウェブ上で漏洩情報が確認されるまでには、想像以上に長い時間がかかるケースがあります。情報が流出した瞬間に公開されるわけではなく、その背後には犯罪者同士の取引や準備期間、流通経路など複雑なプロセスが存在するためです。

本記事では、ダークウェブ調査の「賞味期限」という視点から、漏洩から発見までに時間がかかる理由、ダークウェブ上でのデータ売買のサイクル、そして企業が実施すべき定期モニタリングの重要性について解説します。

なぜ情報漏洩はすぐに発見されないのか

多くの企業は「情報漏洩＝即座に公開される」と考えがちです。しかし現実は異なります。

例えば攻撃者が企業への侵入に成功した場合、まずは取得した情報の価値を評価します。

·  顧客・従業員情報（氏名、住所、メールアドレスなど）
·  認証情報（ID・パスワード、VPNアカウント）
·  機密データ（機密文書、ソースコード、財務データ）

これらの情報を分類し、どのように利益へ変換するかを検討します。

そのため、情報窃取後すぐにダークウェブへ投稿されるとは限りません。むしろ一定期間保管され、最適な売却タイミングを待つケースが一般的です。

攻撃者にとって重要なのは「公開すること」ではなく「利益を最大化すること」です。

結果として、企業側から見ると実際の漏洩発生日とダークウェブでの発見日に大きなタイムラグが発生します。

ダークウェブにおける潜伏期間とは

ダークウェブ調査を行う企業が理解しておくべき概念の一つが「潜伏期間」です。

潜伏期間とは、情報が窃取されてから実際に流通・販売・公開されるまでの期間を指します。

この期間は数日程度の場合もあれば、半年以上に及ぶこともあります。

ケース1：ランサムウェア攻撃

近年のランサムウェアグループは二重脅迫を行うことが一般的です。

まず企業からデータを窃取し、その後身代金交渉を行います。

企業が支払いに応じれば公開を取りやめる場合もありますが、交渉が決裂するとリークサイトで公開されます。

この場合、「侵入」 ⇒ 「データ窃取」 ⇒ 「交渉」 ⇒ 「公開」 という流れをたどるため、漏洩から公開まで数週間から数か月かかることがあります。

ケース2：認証情報の売買

盗まれたIDやパスワードは、すぐに販売されるとは限りません。

攻撃者は他の不正アクセスに利用した後で売却することもあります。

また大量の認証情報をまとめて販売するケースもあり、流出から市場流通まで長期間を要することがあります。

ケース3：内部犯行

内部関係者による情報持ち出しの場合、さらに発見が困難です。

退職後にデータを持ち出し、競合企業への売却や不正利用を行うケースでは、ダークウェブ上に現れるまで数か月以上経過することもあります。

ダークウェブ上のデータ売買サイクル

漏洩情報がどのような流れで取引されるのかを理解すると、発見の遅れがなぜ発生するのかが見えてきます。

一般的なサイクルは以下のようになります。

1. 情報窃取

攻撃者が企業ネットワークへ侵入します。

·  フィッシング
·  VPN侵害
·  脆弱性悪用
·  認証情報窃取

などが主な手法です。

2. データの整理・分類

取得したデータをそのまま販売することは少なく、価値ごとに分類されます。

例えば、

·  経営資料
·  顧客情報
·  社員情報
·  認証情報

などに分けられます。

この作業だけで数週間かかる場合もあります。

3. プライベート販売

まずは限定されたコミュニティで売却が試みられます。

この段階では一般的なダークウェブ監視でも発見が難しい場合があります。

なぜなら招待制フォーラムや閉鎖コミュニティで取引されるためです。

4. 公開市場への流通

売却できなかった情報や価値を証明するためのサンプルが公開フォーラムへ投稿されます。

ここで初めてダークウェブ監視サービスが検知できるケースが増えます。

5. 再販売

情報は一度売れたら終わりではありません。複数の犯罪者間で何度も転売されます。

数年前に漏洩した認証情報が現在も取引されているケースは珍しくありません。

「古い漏洩だから安全」は危険な考え方

ダークウェブ調査を実施すると、過去数年前の漏洩データが発見されることがあります。

すると担当者から、「もう古い情報だから問題ないのでは」という声が上がることがあります。しかしこれは非常に危険です。

なぜなら攻撃者は古い情報を起点として新たな攻撃を仕掛けるからです。

例えば、

·  パスワード使い回し
·  個人情報の組み合わせ
·  メールアドレスの悪用
·  ソーシャルエンジニアリング

などです。

特に認証情報は、一部だけ変更されていても類似パターンが残っていることがあります。

攻撃者はこれを利用してパスワードスプレー攻撃やアカウント乗っ取りを試みます。

つまり情報漏洩には「賞味期限」が存在するものの、その期限は企業が想像するよりもはるかに長いのです。

ダークウェブ調査のタイミングはいつが良いのか

多くの企業が陥る失敗が、単発調査のみで安心してしまうことです。

例えば、

·  情報漏洩事故発生時
·  ランサムウェア被害発生時
·  不正アクセス発覚時

だけ調査を実施し、その後何もしないケースです。

しかし前述のとおり、漏洩情報は時間差で流通します。

そのため事故直後の調査だけでは十分とは言えません。

実際には、

·  事故直後： 漏洩の有無、初期の犯行声明の確認
·  1〜3か月後： 交渉決裂後のリーク、限定フォーラムでの初期流通
·  6か月〜1年後： 一般フォーラムへの公開市場流通、犯罪者間での転売

と継続的に確認することで初めて実態を把握できます。

定期モニタリングが必要な理由

ダークウェブ監視の本質は、「単なる早期発見」ではなく「継続的なリスクの可視化」にあります。企業が自社の資産を守るためには、以下のような多角的な項目を常に監視し続ける必要があります。

·  ドメイン・メールアドレス監視： 社員や役員のメールアドレス、自社ドメインが漏洩リストに含まれていないか

·  認証情報監視： 悪用可能なIDやパスワードがセットで流通していないか

·  ブランド監視： 企業名やサービス名、ブランド資産が犯罪フォーラムで標的にされていないか

·  機密情報監視： 未公開の社内文書やソースコードなどの内部情報が流出していないか

これらを社内リソースだけで、かつ「安全に」24時間監視し続けるのは現実的ではありません。だからこそ、専門の監視体制が必要になります。

ダークウェブ調査は「点」ではなく「線」で考える

ダークウェブ調査を一度だけ実施する企業は少なくありません。

しかし情報漏洩は瞬間的なイベントではなく、長期間にわたって影響が続くリスクです。

攻撃者は取得した情報を長期間保持し、複数回に分けて売却したり、別の犯罪グループへ転売したりします。そのため、「今見つからなかったから安全」ではなく、「今後も継続的に確認する」という考え方が重要になります。

情報漏洩の発生から発見までには想像以上のタイムラグが存在し、その期間中にも情報は流通し続けます。だからこそ企業は単発調査ではなく、継続的なダークウェブ監視体制を整備する必要があります。

まとめ

ダークウェブ上で漏洩情報が発見されるまでに時間がかかるのは、攻撃者によるデータ整理、限定コミュニティでの売買、転売サイクルなど複数の要因が存在するためです。

また、漏洩情報には長い「賞味期限」があり、数年前のデータであっても現在のサイバー攻撃に悪用される可能性があります。

そのため企業は、一度の調査結果だけで安全と判断するのではなく、継続的なモニタリングによって自社情報の流通状況を把握することが重要です。

もし自社ドメインや従業員情報がダークウェブ上でどのように扱われているのか把握できていない場合は、専門的なダークウェブ監視サービスの活用を検討してみてください。定期的な監視によって漏洩情報の早期把握と被害拡大防止につながり、インシデント対応の質を大きく向上させることができます。