ダークウェブとは？流出した個人情報が取引される裏社会

ダークウェブ (Dark Web)とは、通常のブラウザではアクセスができない、匿名性が高いウェブで、ドラッグや個人情報など違法取引が横行しています。ここでは「サーフェイスウェブ」「ディープウェブ」「ダークウェブ」の定義を説明するとともに、危険なウェブサイトの実態やそこで行われる個人情報の取引、個人情報の不正利用被害を避けるための対策について紹介します。

1.ダークウェブの定義

ニュースなどで、「漏洩した個人情報がダークウェブで売られていた」といったことを耳にすることがあります。

一体、ダークウェブとは何なのでしょう。ここでいうウェブとは、一般的にインターネット上にあるホームページおよび内包されるページ「ウェブサイト」のことを指します。

そして、アクセスのしやすさや検索エンジンによる情報収集の対象になるかどうかという観点で、「ディープウェブ」「ダークウェブ」、そして「サーフェイスウェブ」に分類することができます。

Surface Web、Deep Web、Dark Web

1-1.サーフェイスウェブ（表層Web)とは

サーフェイスウェブという言葉は、ディープウェブやダークウェブに対する言葉として言われ始めた呼び方です。

ウェブサイトを氷山に例えた場合に、海面に現れている部分（サーフェイスは表層の意味）を指すもので、多くの人が検索によってアクセスする一般的なウェブサイトのことをいいます。

サーフェイスウェブは、企業や政府機関、公共団体などの公式ウェブサイトや、ショッピングサイト、ブログやSNS（公開）など、URLアドレスの入力や検索結果のリンクのクリックなどによって見ることができるウェブサイトが該当します。

1-2.ディープウェブ（深層Web）とは

ディープウェブは、氷山で言えば水面下にあるウェブサイトで、検索エンジンの対象にならないウェブサイトを指します。

たとえば、GoogleやYahoo!といった検索サイトでは、クローラーと呼ばれるプログラムが自動的にインターネットを巡回し、ウェブサイトを発見すると、そのページのタイトルや冒頭の部分を記録していきます。

最終的には人の目やAIなどによってウェブサイトをチェックし、危険あるいは不適切な内容でなければデータベースに組み込まれていくわけです。

しかし、ウェブページを表示するためのプログラムに細工をすることで、クローラーに登録されないようにする方法がいくつか存在します。そうした細工をすることで、ウェブサイトをサーフェイスウェブではなくすることができます。

また、ウェブサイトの閲覧にアクセス制限を行っているウェブサイトもあります。一般的には、IDとパスワードを入力しないとアクセスできない、サービスの個人ページなどが挙げられます。

クローラーは巡回して情報を収集するだけですので、ログインが必要なウェブサイトは記録しません。また、会員制のウェブサイトや、非公開のSNSなども含まれます。

たとえば、Amazonなどのショッピングサイトは、ログインしなくても商品検索などが可能なサーフェイスウェブですが、Amazonに登録することで作成されるマイページはログインが必要になるため、ディープウェブに分類されるわけです。

このように、ディープウェブは必ずしも危険なウェブサイトとは限らないのです。

1-3.ダークウェブ(闇のWeb)とは

ダークウェブはディープウェブに含まれますが、氷山の最下層に位置するようなウェブサイトで、検索エンジンに登録されない上に、EdgeやChrome、Safari、Firefoxなどといった一般的なウェブブラウザではアクセスすることができません。

ウェブサイトにアクセスするときには、アクセスしているウェブブラウザの情報がウェブサイト側に渡されます。

ダークウェブの場合、それが一般的なウェブブラウザだった場合には、ウェブサイト側がアクセスを遮断してしまうのです。

ダークウェブにアクセスするためには、専用のソフトや技術を使用する必要があります。たとえば、「Tor」（トア）と呼ばれる技術が一時期話題になりました。

Torは匿名通信を実現するために開発された技術です。Torを利用することでダークウェブにアクセスすることができます。

ただし、一般人がTorを入手してダークウェブにアクセスしたとしても、そうと知らずにサイバー犯罪者が運営するウェブサイトにアクセスしてしまうと、たちまちサイバー犯罪者達に身元を突き止められ、あらゆる情報を盗み出されてしまうでしょう。

ダークウェブはこうした危険なサイトも多いため、サイバーセキュリティに深い知識のない人がアクセスすることは非常に危険です。

ダークウェブが持つ最大の特徴は、匿名性の高さです。世界各国にある複数のサーバーを経由してアクセスするため、アクセス元の特定が困難になる仕組みになっています。

この技術は「オニオン・ルーティング」と呼ばれており、まるでオニオン（玉ねぎ）のように何層にも重なることでその中心にあるユーザーを隠すことをイメージしたネーミングです。

ダークウェブは、その匿名性の高さから、違法なものが売られているウェブサイトも多くあります。ただし、正当なウェブサイトも存在しています。

2.ダークウェブはなぜ生まれたのか

ダークウェブは、元々は米国海軍によって開発され、匿名性を確保することで情報通信の秘匿性を確保するという目的がありました。

自身の安全のために完全な匿名性を維持したまま通信できる場所として発展し、言論の自由が制限されている国などで情報を自由にやり取りするために今も活用されています。

しかし、その匿名性の高さは犯罪者にとっても好都合となり、違法取引の場所として利用されるようになりました。

3.ダークウェブで取引される違法なもの

ダークウェブにも無害なウェブサイトはありますが、やはり違法なものが販売されている危険なウェブサイトが多いといえます。主なものには、違法な物品、サイバー攻撃のためのツール、個人情報などの機密情報といったものが挙げられます。

さらに、仮想犯罪都市ともいえるような闇市場の存在を示唆する報告もあるのです。

3-1.違法な商品

リアル（現実世界）の地下市場と同じような物品を販売するダークウェブでは、ドラッグ（麻薬などの違法薬物）や拳銃などの武器、偽造パスポート、違法ポルノなどが販売されています。ただし、パスポートなどは偽造対策が進んでおり、偽造にコストがかかるようになっているため、出品数は減っているようです。

3-2.サイバー攻撃のためのツール

ダークウェブでは、サイバー攻撃を行うためのツールやサービスも提供されています。

たとえば、さまざまな種類のマルウェアや、マルウェアの制作を請け負うサービス、制作したマルウェアが最新のセキュリティ対策ソフトで検知されるかどうかを調べるサービス、あるいは特定のSNSをハッキングする手順書やツール、ハッキングの代行サービスなどがあります。

特に増えているのが「サービスとしてのマルウェア」です。有名なものに「ランサムウェア・アズ・ア・サービス（Ransomware as a Service：RaaS）」があります。このサービスでは、ランサムウェアの危険レベルや、表示する脅迫文のデザインや言語を選んで制作を依頼するまでが一括でできるようになっています。

最近では、サービスとしてのフィッシングも登場しています。これもウェブ上のサービスとして提供されており、フィッシングメールの文面や言語を選べるほか、本物そっくりのフィッシングサイトの作成や偽のログイン画面まで用意されています。

そして、これらのサービスではマイページが用意されており、盗み出した個人情報を管理画面から販売することもできるといいます。

このほか、サイバー攻撃を依頼するためのチャットサービスや、サイバー攻撃関連の情報交換のためのチャットサービスも確認されています。

サイバー攻撃の依頼があると、サイバー犯罪者がさまざまな役割のサイバー攻撃者を集めて、グループとして攻撃を請け負うことになりますが、そのための求人情報も書き込まれることがあります。国家からの依頼もあるといいます。

3-3.個人情報

ニュースに大きく取り上げられたのが、ダークウェブでの個人情報の売買です。売買されている個人情報はさまざまで、特定のサービスに対するログイン情報から、企業などが持つ顧客情報、さらにはクレジットカード情報、電子カルテの情報などが確認されています。

サイバー犯罪者は、常に個人情報を狙っています。流出経路は、個人からと企業からの2つに分けられます。

個人の場合は、フィッシング詐欺やハッキング、Wi-Fiの盗聴などが原因で、パソコンやスマホから情報が盗まれます。

企業の場合は、サイバー攻撃により、ウェブサイトや企業のデータベースに侵入され、そこに登録された個人情報が流出します。

 

個人情報の販売価格は、情報の重要性によって変わりますが、全体的に下落傾向にあるといいます。それでもショッピングサイトやオンラインバンキングのアカウント情報や、パスポートの情報などは高値で取引されています。

IDとパスワードの組み合わせであるログイン情報は、1000件などの単位で売買されており、サイバー犯罪者はこの情報を購入して、他のさまざまなサービスにログインを試みます。

これは「パスワードリスト攻撃」などと呼ばれ、IDとパスワードを複数のサービスで使い回していると、別のサービスにも不正にアクセスされてしまいます。パスワードを使い回さないよう注意喚起されるのは、このためです。

たとえば、SNSのアカウントに不正アクセスされてしまうと、勝手なメッセージを書き込まれたり、マルウェアの感染拡大に悪用されてしまいます。

金融機関のアカウントであれば不正送金をされてしまう可能性がありますし、通販サイトであればクレジットカード情報と紐づいている場合、不正購入されてしまう可能性があります。

何より、サイバー犯罪者が不正ログイン後にパスワードを変更されてしまうと、本来のユーザーはサービスを解約することさえできなくなってしまうのです。

 

4.サイバー闇市場の存在

ダークウェブには、大規模な闇市場が、さながら大都市のような規模で形成されているという指摘もあります。

これは米国のランド研究所が2015年に発表したレポートに掲載されたもので、その経済規模は数十億ドルに達するとみられています。

こうした大規模な闇市場は世界中に複数存在しているとされていますが、ここ数年でその多くが閉鎖に追い込まれています。

しかし、闇市場は次から次へと登場しており、大規模な市場に発展するケースもあるといえます。

大規模な闇市場には、違法なものやサイバー攻撃ツールおよびサービス、個人情報などを売買するマーケットがあることはもちろん、サイバー犯罪に関する教育やトレーニングも提供されているといいます。

闇市場独自の法律があり、質の悪い商品やサービスを提供した者は犯罪者として扱われ、罰則も決められています。

闇市場はオンラインRPGのようなもので、サイバー犯罪者はこの闇市場に来て、ショッピングをしたり教育を受けたり、人脈を広げたりすることができるのです。関係性に基づく階層社会となっており、コネを使って上位の階層に登っていくこともできるといいます。

レポートによると、当時は言語ごとに複数の闇市場があるとしていますが、現在では複数の言語に対応した闇市場となっているようです。今後もこうした闇市場が発見される可能性もあります。

5.個人情報漏洩の実態

5-1.日本人の2.5人に1人が被害に

これまでに世界で約5億人のユーザーが、サイバー攻撃の被害を経験しています。（ノートンライフロック調査）

2019年だけで世界で約3億5千万人、日本では2,460万人が被害に遭っており、急増していることがわかります。

日本だけでみると、サイバー犯罪の経験者は42％、約2.5人にひとり。過去一年に限ると23％、約5人にひとりということになります。

情報漏洩の実態

2018年にスマートフォンを使った決済サービスにおいて情報漏洩が発生し、ユーザーのクレジットカード情報が悪用されるという事件がありました。

この事件では、決済サービスへの不正アクセスなどにより盗み出された個人情報がダークウェブで販売され、それを購入したサイバー犯罪者がクレジットカード情報を使って商品を購入したという疑いが持たれています。

5-2.コロナ禍の日本人の個人情報取引数

弊社が（株）スプラウト協力のもと実施した調査の結果、2020年4〜8⽉の５ヶ⽉間に、ダークウェブで新たに販売されている事が確認された⽇本⼈のログイン情報は951,224件、クレジットカード番号は34,473件。

ログイン情報は、メールアドレスがJPドメインなど日本人と確定できるものに絞っているため、実際はこの数字よりも多くの情報が取引されている可能性があります。

個人情報はリストで取引されているため、実際はログイン情報のみならず付随する情報も取引されている場合が多いです。

6.対策：個人情報を守るためには

現在、個人情報はさまざまな場所にあります。パソコンやスマートフォンの中にもありますし、SNS、ショッピングサイトなど会員登録が必要なウェブサービス、あるいはサービスを提供する企業の中にもあります。

サイトや企業がサイバー攻撃を受けて個人情報が漏洩してしまうケースは、消費者側ではどうしようもありません。

6-1.個人のパソコン・スマホからの漏洩対策

個人のパソコンやスマホからの情報漏洩の原因には、フィッシング詐欺やWi-Fiの盗聴などがあります。このような流出は次のような方法で防ぐことができます。

身に覚えのないメールやメッセージ、SMSなどは開かない。

セキュリティが弱いWi-Fiは盗聴される可能性があるため、VPNアプリで通信内容を暗号化し、解読できない状態にする。

パスワードは推測されづらいものにし、各ウェブサイト（サービス）で異なるパスワードを設定する。

OSは常に最新の状態に保つ。そして、セキュリティソフト・アプリを導入し、パソコン、スマホ内の情報を守る。なるべく多くの対策を行うことが重要です。

6-2.企業等からの情報漏洩の対策

個人情報をあらゆる場面で登録する今、私等は様々な企業や組織に個人情報を預けています。

セキュリティソフトでは対策できない第三者が保持する個人情報に関しては、漏洩した後の対策（情報漏洩に早く気付き、被害拡大を防ぐために対応を行うこと）が重要です。

2019年から消費者向けに販売されるようになった「ダークウェブ モニタリング」機能のアプリ・サービスを導入すると、万が一どこかから自分の個人情報が流出した際に通知してくれるため、例えばネットバンキングの情報が漏洩した際に、不正送金などの被害に遭う前に、ログイン情報を変更するなど対応することができます。

 

ノートンでは、ダークウェブ モニタリング機能に加え、万が一カードの不正利用など、「不正利用被害」に遭った際に365日専門家による電話サポートを受けることができる製品も提供しております。金融機関や政府など機関との３社通話も行いトラブル解決に向けてお手伝いいたします。

▶︎ノートンのダークウェブモニタリング機能について
https://japan.norton.com/dwm/

▶︎無料でメールアドレスがダークウェブ に流出していないかチェック
https://jp.norton.com/breach-detection

6-3.サイバー犯罪から身を守るためのポイント

• 不審な電子メール、アプリのメッセージ、SMSは絶対に開かない
• フリーWi-Fiを利用するときはVPNを使用する
• パスワードの使いまわしを避け、複雑で長いパスワードを設定。多要素認証も活用する。
• OSを常に最新のものにアップデートする。
• セキュリティソフトやアプリを使用する
• ダークウェブモニタリング機能を活用し、個人情報不正利用の被害拡大を防ぐ

※記事内容の利用実施は、ご自身の責任のもとご判断いただくようお願い致します。