はじめに
先日、セキュリティイベント「CODE BLUE」に参加しました。
本記事では、聴講したセッション「OSINTを使った攻撃者の特定」について、投影スライドと当日の内容を基に、私自身の言葉でまとめています。
OSINTとは
CODE BLUEへ参加し、OSINT(Open Source Intelligence：おしんと)という単語を初めて知りました。
軽く調べてみたところ、OSINTとは、一般に公開されている情報源からデータを収集 / 評価 / 分析 する諜報活動の一種のことです。
OSINTは「合法的に入手できる資料」を「調べて突き合わせる」手法であり、具体的には、対象国の方針を割り出すために、対象国の新聞社交欄、ニュースの断片、人事の異動発令、発表報道などを丹念に集積し、分析するなどの手法である。
サイバーセキュリティ分野においてもOSINTの活用が進んでおり、諜報活動を目的としてサイバー攻撃や、サイバー攻撃を実施するグループの特定といった攻防の両面で扱われることがある。
※NECソリューションイノベータ："OSINT(Open Source Intelligence) | セキュリティ用語集" より引用
イベント概要
- イベント名：CODE BLUE Tokyo 2025
- 開催日：2025年11月18日, 19日
- 開催場所：ベルサール高田馬場
Speaker
NTTセキュリティ・ジャパン株式会社 - 真鍋 太郎 氏
レポート
背景
(組織外部からの攻撃を行う)攻撃者を特定する必要は必ずしもありません。
なぜなら、攻撃を成功させないようにしたり、成功した攻撃による問題を解消したりすることの方が優先度が高いからです。
サイバー攻撃の数は年々増加し、より高度化しています。
その一因として、AIによる攻撃支援も考えられますが、「自分が攻撃したことはバレない」と攻撃者が考えていることが挙げられます。
そこで、特定される(逮捕されるかもしれない)恐怖によって、攻撃意思の抑制を狙います。
OpKillingBay
OpKillingBay(おぺれーしょんきりんぐべい)とは、アノニマスが2013年から実施している攻撃キャンペーンのことです。
2020年の東京オリンピックでも実施されました。
OpKillingBayでは、攻撃対象となるターゲットリストが公開されています。
ターゲットリストには、日本政府や組織、イルカ漁団体などが記載されており、2017年以降は更新が行われていません。
OSINTを使用した追跡
2019年と2020年に、合計23回にわたって攻撃が実施されました。
その中の21回は、Cribstateという名前の攻撃者が実行したとの声明が出ています。
CribstateをOSINTを使用して、追跡を試みてみました。
追跡の過程を以下に示します。
- Cribstateは、Twitterアカウントで投稿を行っているが、アカウントは不定期で新規に切り替えているようだった。
- 他のサービスでCribstateというアカウントを探したところ、Twitchに同名のアカウントがあることが判明した。
- Cribstate(Twitch)の以前のアカウント名を調べると、StewRayというものだった。
→ 暫定の本名を特定 - StewRayで検索すると、ホームタウン名が登録されたアカウントが見つかった。
→ 暫定の住所を特定 - Twitterの投稿を遡ると、Cribstateは自身のホームタウンに寄ったときに、「これが新しい5GのLEDライトなのか知りたい」という写真付きのツイートを行っていた。
- この投稿の写真に含まれた看板から、どの自動車販売店であるかを特定し、住所(暫定)の周辺で調査したところ、実在を確認した。
- 住所(暫定)にStewRayという人が住んでいるのかを検索したところ、該当結果があった。
→ 住所と本名が確定 - Cribstateが誰でどこに住んでいるのかを特定できたため、クリスマスカードを送ってみることにした。
- クリスマスカードが届いたであろう時期に、Twitterで反応があり、CribstateはTwitterのアカウントを削除した。
- (元々減少傾向ではあったが、)クリスマスカードを受け取ったときから、Cribstateの攻撃示唆回数が減少した。
その後、Cribstateはその名前を捨て、StewRayとして動物愛護活動家として投稿を行っているそうです。(OpKillingBayとの関わりを絶った可能性が高い)
感想
セキュリティは、攻撃を防ぐ(成功させない)ことや攻撃されても影響範囲を最小限にするといった、"守り"のイメージが強いと思います。
しかし、今回の講演の内容は攻撃者を特定しにいくという、"攻め"のセキュリティだったため、驚きもあって話に引き込まれました。
攻撃者を特定することは、サイバー攻撃の抑制に一定の有効性はあると思いつつも、一歩間違えれば自分も攻撃者になってしまう可能性があると思います。
そのため、方法や程度を適切に判断できる人が実施することが重要だと感じました。
Discussion