SWIMMER OSINT CTF 2026 Writeup
はじめに
2026年1月に開催されました SWIMMER OSINT CTF に ryo.s と二人で参加しました。
ryo.s のWriteupもありますので、参照してみてください。
https://zenn.dev/ryo_s/articles/b0d3353e2fcce7
tgt_rain
rain_01_social
rainは2026年時点でXのアカウントを所持していたようです。
我々は、この人物の投稿のスクリーンショットを入手しました。
スクリーンショットからアカウントを特定し、このアカウントのID（スクリーンネーム）を解答してください。
例えば、@gov_online が対象のアカウントの場合、Flag は SWIMMER{@gov_online} となります。
画像の中に映っていた、「Rail Magazine」のアカウントの該当投稿を探しました。
そして、この投稿を引用投稿しているアカウントを探しました。
SWIMMER{@bruto_rain}
rain_04_source2
rain が2番目に作成した偽記事には、「rainが未公開の情報を見つけた」ということが書かれているようです。しかし、これは虚偽だと思われます。
この人物の嘘を暴くには、正確な出典を探す必要があります。
この画像の出典となる古い書籍は電子化されており、詳細が参照できるはずです。
その資料のデジタルオブジェクト識別子（DOI）を解答してください。
例えば、答えが 12.34567/890123 の場合、Flagは SWIMMER{12.34567/890123} となります。
偽記事に投稿された画像は上のようなものです。
こちらを画像検索にかけると、国立国会図書館に掲載されている画像に類似したものを発見しました。
上記を参照すると「議院建築意匠設計競技図集」という資料に掲載されていたもののようです。
資料について調査していると以下のサイトで、DOIが載っていました。
SWIMMER{10.11501/967480}
rain_05_date
rainは2025年12月25日 (JST)、ある場所に来たことをX上で投稿しています。
しかし、この画像は2025年の別の日に撮影された写真のようで、事実とは異なるようです。 この写真が本当に撮影された日をYYYY/MM/DDの形式で解答してください。
ただし、撮影日は日本時間（JST）を基準とします。 例えば、答えが2025年6月8日の場合、FlagはSWIMMER{2025/06/08}となります。
画像検索すると大阪城ホールであることは分かりました。あとは日付に関する情報を画像から探す必要がありました。
画像の奥の方に開催されるイベントのポスターが貼られていそうな掲示板が見えました。
ポスターには、男の人が1人でタキシードみたいなのを身に着けている、、、？指揮者かなにか？が映っていたので、過去にそれっぽいイベントが大阪城ホールで開催されていないかを調査しました。
すると、以下に辿り着きました。
このコンサートの公演日をフラグとして提出しました。
SWIMMER{2025/12/07}
tgt_debeyohiru
debeyohiru_06_hidden2
debeyohiru が 2025年12月 時点で使用していたと考えられるスマートフォンの機種が知りたいです。
なお、複数の端末を使用していたと考えられる場合は、アンダーバー（_）で繋いで全てを解答してください。この場合、回答順序は問いません。
また、メーカー名は不要です。
例えば、Xperia 10 VIIとiPhone 17を使用していた場合、 Flagは SWIMMER{Xperia 10 VII_iPhone 17} となります。
この問題を解くうえで前提となる情報については、チームメンバーであるryo.sが調査してくれていました。以下のサイトが調査対象者のプロフィールページです。
https://furaigo5.github.io/profile/
また調査対象者のSNSにて、2026年1月10日にスマートフォンを買い替えて、プロフィールを更新する旨の投稿がされていました。
https://bsky.app/profile/debeyohiru.bsky.social/post/3mc2lwrkq2s2c
ということで、現在公開されているプロフィールサイトの情報では、2025年12月時点で使用していたスマートフォンの機種を知ることはできません。
更新前のサイトを参照するために、色々なWebアーカイブを探していました。すると、archive.todayにてスナップショットが残っていました。（複数のサービスで探してみるの大事）
SWIMMER{Pixel 8 Pro_iPhone 13 mini}
tgt_lilica
lilica_01_social
lilica は2026年時点でクリエイターとして活動しており、「黄昏ブロッサムリリカ」と名乗っていたことが分かっています。 また、Xのアカウントを持っていたことが確認されています。
そのXアカウントのID（スクリーンネーム）を解答してください。
例えば、@gov_online が対象のアカウントの場合、Flag は SWIMMER{@gov_online} となります。
xにて「黄昏ブロッサムリリカ」と検索すると上図のアカウントを確認できました。
こちらが今回調査対象となる人物のSNSアカウントのようです。
SWIMMER{@twilight_lilica}
lilica_02_virtual_identity
lilica はVRにも関心があるようで、未来でもVR関連の活動がわずかながら確認されています。
lilica が2026年時点で使っていたVRChatのユーザーIDを特定し、解答してください。
VRChatのユーザー情報はブラウザからも確認できます。
例えば、対象アカウントのURLが https://vrchat.com/home/user/usr_xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx の場合、 Flagは SWIMMER{usr_xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx} となります。
VRChatにログインして、検索欄に「黄昏ブロッサムリリカ」と入力して検索してみました。
すると一つアカウントが引っかかり、アバターもXに投稿されていたものと一致していました。
SWIMMER{usr_b103fac6-8341-4b89-a606-920092e75e43}
lilica_03_virtual_world
lilica はVRChatでの活動をSNSに投稿していたようです。
2025年11月9日（日本時間）に投稿された画像にはある「ワールド」が写っているようです。このワールドのIDを解答してください。
VRChatのワールド情報はブラウザからも確認できます。
例えば、対象のワールドのURLが https://vrchat.com/home/world/wrld_xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/info だった場合、
Flagは SWIMMER{wrld_xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx} となります。
今回調査したいVRChatのワールドの様子は上図です。こちらは、xに投稿された画像から取得しました。
画像をじっくり観察してみると、「#VRC_ナギサ」という文言が気になりました。
こちらの文言で検索してみると、以下のような投稿から「ナギサ」というのはワールド名を指しており、「NAGiSA」という表記が正式のようです。
https://x.com/Engine_Kazumi/status/1803743129096552833
該当のワールドを検索してみると、以下がヒットしました。どうやら、このワールドで見ず知らずの人と一対一でお話しを楽しんでいたのでしょう。
SWIMMER{wrld_1b94e327-036b-4d09-81be-e898d71f02cb}
lilica_04_domain
lilica は個人のWebサイトを運営していたようです。
このWebサイトのドメイン名が取得された日付が知りたいです。YYYY/MM/DD の形式で解答してください。
例えば、2026年1月2日 がドメイン取得日の場合、Flagは SWIMMER{2026/01/02} となります。
xの投稿の中に、lilicaの個人Webサイトのリンクがありました。
個人サイトのドメインは「twilight-lilica.com」です。ドメインの取得日は、Whoisの結果に記載されていますので、確認してみます。（レジストリのWhois情報公開サイトからでも、whoisコマンドからでも構いません。）
「Creation Date」の記載されている日付がドメインの取得日です。
SWIMMER{2025/10/05}
lilica_05_hosting
lilica が運営している個人サイトは、あるホスティングサービス上に存在しています。
このサイトは規約違反を行っているわけではないので何かできるわけではありませんが…… 念の為、連絡先を知っておきたいです。
このホスティングサービスの規約違反通報メールアドレスを解答してください。
例えば、メールアドレスが foobar@example.com の場合、Flagは SWIMMER{foobar@example.com} となります。
警告 : このアドレスに対してメールを送信してはなりません。 解答に際して、メールを送る必要は一切ありません。
「twilight-lilica.com」に紐づけられているIPアドレスは、nslookupコマンドで「45.77.129.141」だと分かります。
IPアドレスから使用されているホスティングサービスを調査する方法は、世の中に色々あるのかと思いますが、私は一旦、「shodan」でIPアドレスを調査してみました。
ホスト名やOrganizationの結果から、「Vultr Holdings, LLC」という組織がホスティングサービスを提供していて、twilight-lilica.comのコンテンツがホストされているものと思います。
ホスティングサービスへ規約違反等の理由で連絡する窓口のことを、「abuse」っていったよなぁというイメージがありました。「Vultr Holdings, LLC」の公式ホームページを見に行きました。「Vultr Holdings, LLC abuse」で検索すると、以下がヒットしました。ここにポリシーに関する連絡窓口のアドレスが記載されていました。
https://www.vultr.com/legal/antispam-policy/
SWIMMER{abuse@vultr.com}
lilica_06_name
lilica の本名が知りたいです。
この人物の実名と考えられるものを解答してください。
ローマ字（アルファベット）表記で入力してください。漢字の表記を考慮する必要はありません。
例えば、Sanae Takaichi が実名の場合、Flagは SWIMMER{Sanae Takaichi} となります。
これは難しい問題でしたので、ヒントを参考に調査しました。
ダウンロード可能なファイルが、この問題を解く鍵だとヒントには記載がされていましたので、該当のファイルを探してみると、xの投稿にありました。これしかありません。
このファイルは「simple_hair_pin.fbx」という名前で、ギガファイル便を用いて共有されていました。拡張子fbxは、3Dモデルデータのファイル形式です。おそらく投稿の画像にもある通り、髪留め3Dモデルのファイルだと思われます。
このファイルを開くにはBlenderを使わないといけないのか、、、という葛藤（実際ryo.sはインストールしてた。）もありましたが、オンライン上でfbxファイルを開ける「Autodesk Viewer」というサービスが存在していました。こちらで、ファイルを開きました。
「Last Saved URL」のファイルパスの中に、なにやら人物の名前が記載されていました。怖いですねぇ。
SWIMMER{Shiharu Nanaogi}
ops_swimmer
2025年のある日、rain, debeyohiru, lilica が初めて3人で集まったようです。 この日以降、この集団は活動を徐々に活発化させました。
それはいつ・どこだったのでしょうか？
以下の情報を教えてください。
- 日付（YYYY/MM/DD 形式）
- 集合時刻（HHmm 形式。日本時間で24時間表記）
- 場所（チェーン店名と店舗名）
例えば、2025年の10月1日の20時00分（日本時間）に、マクドナルド 新宿西口店で集合している場合、 Flagは SWIMMER{2025/10/01_2000_マクドナルド新宿西口店} となります。
店舗名は 公式サイト の日本語表記に準拠します。ただし、スペース ( ) が含まれている場合、それを省いてください。
全問解いたら出現した問題です。今までの調査から総合して、解凍する必要がある問題でした。
日付と集合時間ですが、「tgt_debeyohiru」問題に取り組んでいた時に、GmailアドレスからGoogleカレンダーが誰でも参照できるよう外部公開されていることを発見していました。
Gmailアドレスから情報を抽出するためにGhuntというツールを利用して調査しました。
https://github.com/mxrch/GHunt
┌──(ghunt)─(kali㉿kali)-[~/ghunt/ghunt]
└─$ ghunt email furaigo5.onionsoup@gmail.com
.d8888b. 888 888 888
d88P Y88b 888 888 888
888 888 888 888 888
888 8888888888 888 888 88888b. 888888
888 88888 888 888 888 888 888 "88b 888
888 888 888 888 888 888 888 888 888
Y88b d88P 888 888 Y88b 888 888 888 Y88b.
"Y8888P88 888 888 "Y88888 888 888 "Y888 v2
By: mxrch (🐦 @mxrchreborn)
Support my work on GitHub Sponsors ! 💖
> GHunt 2.3.3 (🕷️ Spider Edition) <
🎉 You are up to date !
[+] Stored session loaded !
[+] Authenticated !
🙋 Google Account data
[+] Custom profile picture !
=> https://lh3.googleusercontent.com/a-/ALV-UjX1x0wmoIZhrJibJKHA2nv29JiBq7bhBKLMwdRuqLbGwCW39A
[-] Default cover picture
Last profile edit : 2026/01/02 17:52:44 (UTC)
Email : furaigo5.onionsoup@gmail.com
Gaia ID : 109646098240540962124
User types :
- GOOGLE_USER (The user is a Google user.)
📞 Google Chat Extended Data
Entity Type : PERSON
Customer ID : Not found.
🌐 Google Plus Extended Data
Entreprise User : False
🎮 Play Games data
[+] New token for playgames has been generated
[-] No player profile found.
🗺️ Maps data
Profile page : https://www.google.com/maps/contrib/109646098240540962124/reviews
[-] No review.
🗓️ Calendar data
[+] Public Google Calendar found !
Calendar ID : furaigo5.onionsoup@gmail.com
[+] Calendar Summary : ふらいご
Calendar Timezone : Asia/Tokyo
[+] 1 event dumped ! Showing the last 1 one...
╔══════╤═════════════════════╤══════════╗
║ Name │ Datetime (UTC) │ Duration ║
╟──────┼─────────────────────┼──────────╢
║ 集会 │ 2025/12/30 09:30:00 │ 2 hours ║
╚══════╧═════════════════════╧══════════╝
🗃️ Download link :
=> https://calendar.google.com/calendar/ical/furaigo5.onionsoup@gmail.com/public/basic.ics
これが該当の日付と集合時間であると推測しました。
場所については、「rain」と「lilica」問題のSNSの投稿内容を基にして調査を行って、無事Flagを提出することができました。
SWIMMER{2025/12/30_1830_デニーズ大井町駅前店}
Discussion