OSINT(Open Source Intelligence)とは、一般に公開された入手可能な情報を収集・分析する手法を指します。

本来は諜報活動で利用されてきた手法で、米国国防総省（USDoD : United States Department of Defense）では「特定の情報要件に対処する目的で、一般に入手可能な情報を収集・利用し、適切な対象者に適時に普及させた情報」と定義しています。最近ではOSINTの手法をマーケティングやセキュリティなどで利用する企業も増えています。

しかし同時にOSINTは標的型サイバー攻撃にも悪用されてしまう側面を持っています。攻撃者が組織や個人の断片的な情報を収集して分析し、意味のある情報として悪用するということです。

そこで今回はサイバー攻撃の手法としての側面からOSINTを解説していきます。

OSINTに利用される情報

そもそもOSINＴで利用される情報は、一般に公開されている情報です。たとえば企業の公式サイトに掲載されている情報、ニュースリリース、書籍や雑誌に掲載された情報などを収集し、断片的な情報を突き合わせて分析していきます。また、従業員のSNSの情報や、場合によっては家族の情報まで収集することもあります。

たとえば自分が働いている企業をSNSで公開している人が、うっかり「リモートワークでVPN接続が面倒だ」と書くと、その企業はVPNを導入していることがわかります。本名を公開していれば、会社の他のメールアドレスから企業のアカウントの命名規則が推測できるかもしれません。また、その人の家族のSNSに「来週からは家族でバカンス」などと投稿していれば、その人が不在のタイミングを見計らってツールでの総当たり攻撃で不正アクセスに成功してしまう可能性もあります。

Google、Yahoo、Bingなどの検索エンジンを利用して、とにかく狙った企業に関連したドキュメントを収集するという手法もあります。組織の中にITリテラシーの低いユーザーがいれば、意図せずに機密情報の含まれたファイルをインターネット上に公開しているケースもあります。

サイバー攻撃では公開情報だけではなく非合法な情報とも突き合わせる

前述したように、OSINＴは合法的に入手可能な公開情報を収集・分析する手法です。しかし、サイバー攻撃はそもそも違法であるため、突き合わせて分析するための情報はダークマーケットから入手するような非合法なものも含まれます。つまり、一般のOSINTよりもずっと強力で危険です。

たとえば攻撃者が企業を狙う際、必ずと言っていい程確認するのは公開されているドメインの情報です。whoisで検索するだけで、ドメインの所有者や管理者の情報が記載されているためです。最近では情報公開サービスを利用している企業も増えていますが、所有者や管理者の氏名、メールアドレス、住所、電話番号が公開されているケースもあります。もちろんwhoisで公開されている情報を収集することは合法ですが、攻撃者は企業のメールアドレスか判明すると、命名規則などを推測してフィッシングメールを送るなど非合法な方法で情報を収集する、場合によっては実際に攻撃を実行することもあります。なお、こうした情報収集や分析を実行するツールも広く出回っており、最近ではAIを活用した分析によって精度が高まっています。

意図しない情報の公開に注意する

OSINTによるサイバー攻撃から企業を守るためには、「その情報は公開しても問題ないことをきちんと確認する」「意図していない情報を公開しない」ということを徹底するしかありません。自社サイトにブログを公開している、PRのためにX（旧Twitter）、Facebook、Instagram、YouTubeなどに投稿している企業も多いとは思いますが、本当にその情報を公開しても大丈夫なのかという疑いの視点を必ず持つようにすることが大切です。

SNSなどは個人のプライバシーに深くかかわる問題ではありますが、業務に関連する内容は些細なことでも投稿しないというルールを順守することが大切です。あきらかに業務として「今日は〇〇社を訪問した」や「著名な□□氏にお会いした」といった内容は厳禁です。意外に見落としがちなのが、写真に記録されている「Exif情報」です。スマートフォンなどで撮影した画像の場合、GPSの情報から撮影場所が特定できてしまうこともあります。

また、SNSの投稿からよく行く飲食店や販売店などを特定し、そのお店の会員情報をハッキングしてパスワードを抜き取ったり、マルウェアを仕込んだりされる可能性もあります。小規模な店舗は大きな企業に比べてセキュリティレベルも低く、攻撃者も狙いやすく気付かれにくいため、酷い場合には店舗の無線LANをハッキングするというケースもあります。

普段の業務においても、メールを送信する際に「CC」に入れる相手を確認する習慣をつける、WordやExcelなどのオフィスドキュメントには、プロパティにさまざまな記録が付加されています。外部に送信する際には、この情報を消すという習慣をつけるべきです。関連会社から受け取ったファイルを編集し、第三者に渡すといった場面をよく見かけますが、元になったファイルがどこの企業で作成されたのか、作成者は誰かといった情報が筒抜けになってしまう可能性があることを意識してください。

いずれにしてもなんらかの情報を公開する際には、細心の注意を払うことが大切であることは間違いありません。

まとめ

・OSINTは一般に公開された入手可能な情報を収集・分析する手法
・OSINTは標的型サイバー攻撃に利用されることもある
・意図していない情報を公開しないことを徹底することが大切