ダークウェブの実態と企業が取るべき対策とは？～見えないインターネットの深淵～
デジタル化が進む現代社会において、企業活動はインターネットと密接に結びついています。しかし、その広大なインターネットの世界には、私たちが見ることのできない「隠された領域」が存在します。それが「ダークウェブ」です。今回は、この見えない脅威「ダークウェブ」の実態と、企業が取るべき対策について解説します。
ダークウェブ調査 | シエンプレ株式会社
即日開始、最短5営業日で報告ダークウェブ調査警察庁サイバーパトロール受託のシエンプレで安心安全！お問い合わせはこちら（無…
siemple.co.jp目次
インターネットの3つの層：サーフェスウェブ、ディープウェブ、ダークウェブ
私たちが普段利用しているインターネットは、実は「サーフェスウェブ」「ディープウェブ」「ダークウェブ」という3つの層に分けられます。
●サーフェスウェブ（Surface Web）
GoogleやYahoo!などの一般的な検索エンジンで検索でき、ChromeやSafariといった通常のWebブラウザで閲覧できる公開されたWebサイトです。企業の公式サイトや個人のブログなどがこれに該当します。
●ディープウェブ（Deep Web）
一般的なWebブラウザでアクセスできますが、パスワード設定などで限られた人のみが閲覧できる情報が含まれる領域です。SNSの会員専用ページ、オンラインバンキング、クラウドストレージなどがこれにあたります。ディープウェブのコンテンツは必ずしも違法なものではなく、合法的で有益な情報も多く含まれています。
●ダークウェブ（Dark Web）
ディープウェブの一部でありながら、さらに深く隠されており、Tor（トーア）などの特殊な接続経路匿名化ソフトを使わないと接続できない秘密のインターネット空間を指します。一般的な検索エンジンではヒットせず、匿名性が非常に高いのが最大の特徴です。
なぜダークウェブは匿名性が高いのか？その仕組みと目的
ダークウェブの匿名性は、主に「Tor」と呼ばれる技術によって支えられています。Torは、インターネット通信を複数のサーバーを経由させることで、通信経路を特定しにくくする仕組みです。これにより、ユーザーのIPアドレスなどの情報が隠蔽され、高い匿名性が確保されます。
この匿名性の高さは、良い目的と悪い目的の両方に利用されます。ジャーナリストや内部告発者が政府の検閲を回避して情報を共有したり、プライバシー保護のために通信手段を確保したりする正当な利用方法も存在します。しかし、その一方で、匿名性が高いことを悪用し、違法な活動の温床となる側面も持ち合わせています。
ただし、ダークウェブで保たれている匿名性は決して絶対ではありません。多くの国の捜査機関は、ダークウェブマーケットで違法物品を扱う売人を追跡し逮捕しており、その利用者は犯罪行為に加担したとして同様に逮捕されるリスクがあります。また、技術的知識がないまま安易に利用すると、悪意のある人物による詐欺やマルウェア感染など、犯罪に巻き込まれるリスクも高いと言えるでしょう。
ダークウェブで取引される危険な情報や物品
ダークウェブ上では、匿名性を悪用して多岐にわたる違法な物品や情報が取引されています。企業が特に警戒すべきは、以下のような情報です。
●企業や個人の顧客情報
氏名、住所、電話番号、ID、パスワード、クレジットカード情報など、機密性の高い個人情報が高値で売買されています。ランサムウェア攻撃などにより漏洩した企業や公的機関の情報が、ダークウェブ上で公開されるケースも少なくありません。
●セキュリティの脆弱性に関する情報やハッキングツール
企業システムへの不正アクセスを可能にする脆弱性情報（ゼロデイ攻撃情報など）や、サイバー攻撃のためのツールも取引されています。
●マルウェア
ランサムウェアなどのマルウェア作成ツールや、感染した端末から情報を抜き取るための悪意のあるソフトウェアが流通しています。マルウェアに感染すると、内部ファイルが暗号化され身代金を要求されたり、ネットワークを通じて企業全体に感染が拡大し、事業に甚大な被害をもたらす可能性があります。
●違法性の高い物品
兵器、ドラッグ、偽造文書、児童ポルノなど、極めて違法性の高い物品も取引されています。
また、ダークウェブ上での金銭のやり取りには、ビットコインなどの仮想通貨が不可欠な存在となっています。仮想通貨は円やドルに比べて匿名性が高く、追跡が困難であるため、身元を特定されたくない利用者にとって都合の良い決済手段として悪用されています。
ダークウェブが引き起こした深刻な被害事例
実際にダークウェブが絡んだ事件は、企業や組織に深刻なダメージを与えています。
●有料アカウントの不正売買
2023年4月には、ChatGPTの有料アカウントがダークウェブ上で大量に売買されました。これにより、悪意のある第三者がアカウントを乗っ取り、正規ユーザーの情報を抜き取ったり、関連するクレジットカード情報を不正利用したりするリスクが高まりました。
●日本企業の機密情報漏洩
2023年6月の調査では、日本の主要製造業30社の全てで、アカウント情報や機密文書がダークウェブにアップロードされている事実が明らかになりました。これはフィッシングやスミッシングなど、さらなるサイバー攻撃のきっかけとなり得ます。
●公的機関からの大規模な個人情報流出
2015年には、日本年金機構の職員用端末がサイバー攻撃を受け、約125万件もの個人情報（基礎年金番号、氏名、住所、生年月日など）がダークウェブ経由で流出しました。攻撃者は学術機関の職員を装い、ウイルス付きの文書ファイルを送信するという手口を使っていました。
●仮想通貨取引所からの巨額流出
2018年1月には、国内の大手仮想通貨取引所から約580億円相当の仮想通貨が不正に流出し、社会問題となりました。攻撃者はフィッシングメールで秘密鍵を盗み出し、ダークウェブ上で交換サイトを開設して匿名で換金を進めていました。
これらの事例からもわかる通り、ダークウェブでの情報流出は、企業の経営危機、株価の下落、大口顧客の喪失、ブランドイメージの毀損、訴訟、規制上の罰則など、計り知れない悪影響をもたらします。
加速するデジタル技術と我々が背負ったWebリスク
※この記事は雑誌『美楽』2018年
https://www.siemple.co.jp/isiten/「ホワイトハッカー」という、Webリスク対策における切り札
※この記事は雑誌『美楽』2018年
https://www.siemple.co.jp/isiten/仮想通貨取引問題にみる、ダーク（闇）ウェブの強まる存在感
※この記事は雑誌『美楽』2018年
https://www.siemple.co.jp/isiten/企業が取るべきダークウェブ対策の重要性
ダークウェブの脅威から企業を守るためには、予防と事後対応の両面で包括的な対策を講じることが不可欠です。
1. 被害を未然に防ぐための予防策
●不用意なアクセスを禁止する指導
従業員に対し、ダークウェブへの不用意なアクセスがいかに危険であるかを教育し、アクセスルールを設けることが重要です。
●セキュリティ対策の向上
企業全体としてセキュリティの強化が必須です。
- アカウント管理の厳重化
すべての登録サービスでパスワードを使い回さず、強力でランダムな文字列を使用し、定期的に更新することが推奨されます。また、二要素認証の有効化も不正アクセスのリスクを大幅に減らします。 - 未使用アカウントの解約
利用していないサービスのアカウントは、情報漏洩のリスクを減らすために削除・解約しましょう。 - セキュリティソフトの導入
社内システムに合ったセキュリティソフトを導入し、企業全体の安全性を高めることで、情報漏洩の防止だけでなく、早期発見にも繋がります。 - 社内コミュニケーションの仕組み構築
従業員が不審なメールやファイル、社内システムに違和感を覚えた際に、すぐに報告・連絡・相談できる仕組みを構築することで、人為的な感染リスクを軽減できます。
●システムの定期的なアップデート
サイバー犯罪の手口は日々巧妙化しているため、常に最新のセキュリティ情報にアップデートし、システムの不具合やランサムウェアに備えてデータの定期的なバックアップを行うことが肝心です。
2. 被害を最小限に抑えるための体制
万一、情報が流出してしまった場合でも、その被害を最小限に抑えるための体制を構築しておくことが重要です。
●ダークウェブの定期的なモニタリング
自社の顧客情報や企業秘密がダークウェブ上に流出していないか、サイバー攻撃の予告が出ていないかなどを24時間体制で継続的に監視する体制を構築することが望ましいです。これにより、情報流出を早期に発見し、迅速な対応が可能になります。専門の監視ツールや外部の専門会社への委託も有効です。
●インシデント発生時の即応体制
情報漏洩が判明した場合は、流出した情報の内容や件数、予想される被害などを迅速に調査し、取引先や顧客への通知、パスワードのリセット、注意喚起などの早急な対応が必要です。
●危機管理マニュアルの策定
事前に危機管理対応マニュアルを策定し、役割と責任を明確に定義しておくことで、予期せぬ事態にも迅速かつ適切に対応できるようになります。
●専門家との連携
自社だけでこれら全ての対策を網羅するのは困難です。信頼できる弁護士やデジタル・クライシス対策の専門会社と連携することで、法的な措置を含めた被害の抑制から再発防止まで、トータルな視点に立った対策を講じることができます。
ダークウェブ調査サービス紹介資料 | シエンプレ株式会社
siemple.co.jpまとめ：デジタル・クライシス対策は専門家と共に
ダークウェブは、一般の人々には見えにくいインターネットの深淵に潜む、企業にとって深刻な脅威です。情報漏洩やサイバー攻撃、それらに伴うブランドイメージの失墜や経営危機といったデジタル・クライシスは、いつ、何がきっかけで起こるか予測が難しいものです。
しかし、「知らない」では済まされない時代です。その発生メカニズムを理解し、平時からの徹底した予防策と、万一の事態に備えた迅速かつ誠実な危機管理対応を講じることで、被害を最小限に抑え、企業の信頼を回復する道を開くことができます。
私たちシエンプレは、国内で唯一、デジタル・クライシスおよびサイレントクレーム対策を専門とする企業です。警察庁のサイバーパトロール業務の受託や、警視庁の捜査協力も行ってきた実績から、高い信頼性と豊富なノウハウを有しています。
シエンプレの「ダークウェブ調査」サービスは、お客様の顧客情報や企業秘密がダークウェブ上に流出していないか、サイバー攻撃の予告がないかなどを調査し、適切に報告します。スポットでの緊急対応プランから、定期的な監視プラン（月額35万円～）まで、お客様の状況に応じた最適なプランをご提案し、コストを抑えながらも安全な体制構築を支援いたします。
さらに、危機対応支援サービスでは、ネット上の口コミやニュース記事などの論調を詳細に収集・分析し、想定されるリスクを診断します。緊急のコールセンター開設、記者会見のセッティング・運営、メディアを納得させるプレスリリース執筆など、事後対応も手厚くサポートし、事態の沈静化まで継続的にモニタリングを行います。
デジタル社会を生き抜く企業の羅針盤として、貴社のブランドと信頼を守るお手伝いをいたします。デジタル・クライシス対策の強化をお考えであれば、国内ナンバーワンの取引実績と信頼性、豊富なノウハウを持つシエンプレまで、どうぞお気軽にご相談ください。