Telegram（テレグラム）は第2のダークウェブ？過激化する情報流出チャンネル

「ダークウェブ」と聞くと、特殊なブラウザを使わなければアクセスできない匿名ネットワークを思い浮かべる人は多いでしょう。実際、Torなどを利用したダークウェブ上では、サイバー犯罪者が情報交換を行ったり、盗まれたデータを売買したりする活動が確認されています。

しかし近年、企業の情報セキュリティを考えるうえで無視できない存在になっているのがTelegram（テレグラム）です。

Telegramは本来、一般的なメッセージングアプリの一つです。個人間のコミュニケーションだけでなく、ニュース配信、コミュニティ運営、企業や団体による情報発信など、合法的な用途でも広く利用されています。

その一方で、匿名性や大規模なチャンネル運営、情報拡散の速さといった特徴が、サイバー犯罪者に悪用されるケースもあります。ランサムウェア攻撃や情報漏洩の後、盗み出したデータの公開を予告したり、企業名を挙げて交渉を迫ったりする場面で、Telegramなどのメッセージングサービスが使われることもあります。

ここで重要なのは、「Telegram＝犯罪サイト」と考えることではありません。

むしろ企業側が注目すべきなのは、従来のダークウェブとは異なる場所で、漏洩情報や攻撃関連情報が流通しているという事実です。

ダークウェブだけを監視していれば十分、という考え方では、現在の情報流出リスクを捉えきれなくなっています。

「ブラウザ不要」の犯罪コミュニティが生まれる理由

従来のダークウェブ監視では、Torなどの匿名ネットワーク上に存在するフォーラムやマーケットプレイスが主要な調査対象でした。

これらのサイトを確認するには、一般的なWebサイトとは異なるアクセス環境が必要になる場合があります。そのため、情報セキュリティ担当者にとっても「特殊な場所を監視する」というイメージが強くありました。

ところがTelegramの場合、一般的なスマートフォンやPCから利用できます。専用の匿名ブラウザを必要とせず、アプリやWeb版からアクセスできる。さらに、チャンネルを利用すれば多数のユーザーに対して一度に情報を発信できます。

この手軽さは、犯罪者側にとっても大きな意味を持ちます。
たとえば、ある企業から盗み出したデータを持っている人物が、その情報を犯罪コミュニティ内で告知するとします。従来型のダークウェブフォーラムであれば、フォーラムへの登録、投稿、閲覧者とのやり取りといった一定のプロセスが必要になる場合があります。

Telegramでは、チャンネルやグループを作成し、そこに情報を投稿するだけで多数の参加者へ届けられます。もちろん、Telegram上のすべてのコミュニティが犯罪目的というわけではありません。ここは明確に区別する必要があります。

問題なのは、合法的なコミュニケーション基盤として広く利用されているサービスの中に、サイバー犯罪に関連する情報を扱うコミュニティも存在し得ることです。企業にとっては、監視対象が「ダークウェブ」という一つの領域ではなくなっていることが重要です。

情報漏洩は「公開された瞬間」から始まるとは限らない

情報漏洩への対応で見落とされやすいのが、情報が表に出るまでの時間です。企業が「自社の情報が漏洩した」と認識するのは、ニュース報道や攻撃者による公開など、何らかの明確な兆候が出た後であることが少なくありません。

しかし実際には、その前段階で攻撃者が企業情報を交換している可能性があります。
たとえば、ある企業から取得したとされるデータについて、攻撃者同士がその価値を評価しているケースです。どのような情報が含まれているのか、どの程度のデータ量なのか、企業側が把握しているのか。こうした情報が犯罪コミュニティ内で共有されれば、企業が知らないところで「次の攻撃」につながる可能性があります。

Telegramのようなリアルタイム性の高いプラットフォームでは、こうした情報の流通速度がさらに速くなることがあります。投稿された情報が別のチャンネルへ転送され、別のユーザーによって再投稿される。

その結果、企業が最初の投稿を確認する頃には、すでに複数の場所へ情報が拡散していることも考えられます。これは、従来の「Webサイトに情報が掲載されたら検知する」という発想だけでは対応しにくい問題です。

情報漏洩対策では、公開された情報だけでなく、その前段階にある兆候をどのように把握するかが重要になっています。

「即時性」が企業にとって新たなリスクになる

Telegramなどのメッセージングサービスが情報流出の場として注目される理由の一つが、情報拡散の即時性です。Webサイトの場合、ページを作成し、公開し、検索エンジンに認識されるまで一定の時間がかかることがあります。

一方、メッセージングサービスでは、投稿した情報が参加者へ直接届きます。しかも、情報を受け取ったユーザーがさらに別の場所へ転送できます。企業からすれば、「削除されたから問題が解決した」とも限りません。

一度公開された情報は、スクリーンショットやコピー、再投稿などによって別の場所に残る可能性があります。

この特徴は、個人情報や認証情報だけでなく、企業内部の文書、取引先情報、従業員情報などにも当てはまります。

特に注意したいのが、ランサムウェア攻撃などによって企業データが窃取されたケースです。攻撃者が企業に対して身代金を要求するだけでなく、支払いに応じなければデータを公開すると脅す「二重恐喝」では、情報公開そのものが圧力として利用されます。

このとき、攻撃者が使用する情報発信経路は一つとは限りません。独自のリークサイト、ダークウェブ上のフォーラム、メッセージングサービスなど、複数のチャネルが使われる可能性があります。

したがって、企業側も「どこで公開されるか」を固定的に考えるのではなく、情報が流通する可能性のある複数の領域を視野に入れる必要があります。

Telegramだけを監視すればいいわけではない

ここで誤解してはいけないのが、「ダークウェブからTelegramへ監視対象を移せばいい」という話ではないことです。実際のサイバー犯罪活動は、複数のプラットフォームをまたいで行われることがあります。

ある場所で攻撃対象に関する情報が共有され、別の場所で認証情報が売買され、さらに別のサービスで企業への接触や情報公開が行われる。このような動きがあると、単一のサービスだけを見ていても全体像を把握することは難しくなります。

OSINT（Open Source Intelligence）の考え方が重要になるのも、このためです。
公開情報を一つひとつ確認するだけではなく、企業名、ドメイン、メールアドレス、ユーザー名、ファイル名など、複数の情報を関連付けながら調査することで、点在していた情報が一つの関連情報として見えてくる場合があります。

たとえば、ダークウェブ上で確認された漏洩データと、Telegram上で投稿された企業名が一致している。さらに、その企業のドメインと関連するメールアドレスが過去の情報漏洩データに含まれている。

こうした複数の情報を組み合わせることで、「単なる企業名の投稿」なのか、「実際の漏洩情報に関連した投稿」なのかを判断する材料が増えていきます。

重要なのは、個々の投稿を監視することではありません。企業に関係する情報が、どのような場所で、どのような文脈で、どのように変化しているのかを追跡することです。

監視が難しい本当の理由

Telegramなどのプラットフォームを監視するうえで難しいのは、単純に情報量が多いことだけではありません。そもそも「何を探すのか」を決めることが難しいのです。企業名だけを検索しても、同名の企業や一般的な単語が大量に出てくる可能性があります。

一方、ドメイン名だけを対象にすると、別の表記や略称、関連会社名などを見落とすことがあります。攻撃者が企業名をそのまま書くとも限りません。

企業ブランド、サービス名、ドメイン、従業員のメールアドレス、ファイル名など、企業との関連性を示す情報はさまざまです。さらに、攻撃者が意図的に表記を変えることもあります。このため、単純なキーワード検索だけでは十分な監視にならない可能性があります。

企業名だけでなく、関連ドメインやブランド名、過去に漏洩した可能性のある情報などを組み合わせて監視することが重要になります。

そしてもう一つ大きな問題があります。それは「継続的に見ること」です。
情報漏洩に関する投稿は、企業が確認したいタイミングで掲載されるとは限りません。平日の昼間に投稿されるとは限らず、休日や深夜に情報が公開されることもあります。

担当者が毎日すべてのコミュニティを確認するという運用には、どうしても限界があります。一度検索して「何も見つからなかった」という結果と、「継続的に監視して、現時点で異常が確認されていない」という状態は意味が違います。

情報漏洩対策は「公開後」から「公開前」へ

企業の情報セキュリティ対策では、これまで内部環境の防御が中心になってきました。ファイアウォール、EDR、メールセキュリティ、MFA、脆弱性管理など、企業内部への侵入を防ぐ仕組みはもちろん重要です。

ただし、どれだけ防御を強化しても、攻撃を完全にゼロにすることは困難です。そこで重要になるのが、外部から自社がどのように見えているのかを把握する視点です。

漏えい情報を早期に把握できれば、アカウントのパスワード変更やセッションの無効化、MFAの再確認、関係部署への注意喚起、インシデント対応の準備など、具体的な対応につなげられる可能性があります。

つまり、情報漏洩対策は「漏洩を防ぐ」だけではなく、「漏洩した場合に、どれだけ早く気付けるか」という問題でもあります。

「第2のダークウェブ」と呼ぶことの意味

Telegramを「第2のダークウェブ」と表現することには、少し注意が必要です。
技術的には、Telegramとダークウェブは同じものではありません。

ダークウェブは、一般的な検索エンジンからアクセスしにくい匿名ネットワーク上のWeb領域を指すのに対し、Telegramは一般的なインターネット上で利用できるメッセージングサービスです。

しかし、企業の情報セキュリティという観点から見ると、両者には共通する監視上の課題があります。それは、企業の管理下にない場所で、自社に関する情報が流通する可能性があるという点です。

しかも、その情報が公開されるまで企業側からは見えにくい。だからこそ、Telegramを「第2のダークウェブ」と呼ぶことには、監視対象の拡大を考えるうえで一定の意味があります。

大切なのは名称ではなく、「自社の情報が外部のどこで流通しているのか」を把握することです。

まとめ：情報漏洩対策は「公開後」から「公開前の兆候把握」へ

これからの情報漏洩対策は、社内ネットワークを固める内部防御だけでなく、「外部から自社がどう見えているか」を把握する視点が不可欠です。

・　自社の情報がダークウェブやTelegramで話題になっていないか
・　過去に漏洩した認証情報が再流通していないか
・　攻撃グループが自社を次の標的に指名していないか

これら「見えない変化」の兆候を早い段階で察知できれば、パスワード強制リセット、MFA（多要素認証）の再設定、セッション無効化など、実害が出る前に手を打つことが可能になります。

Telegramをはじめとする情報流通の多様化に対応するためには、ダークウェブ監視を単なる「漏洩後の調査」として捉えるのではなく、脅威インテリジェンス（OSINT）の一環として継続的に外部リスクをモニタリングする態勢へとシフトしていくことが求められています。