ダークウェブ.

ダークウェブ(Dark Web)とは、Tor の Onion Service や I2P の eepsite などのオーバーレイネットワーク上にあり、通常のブラウザや標準 DNS では到達できないインターネット領域を指します。多層の暗号化リレー経由のルーティングにより、訪問者と運営者の双方が匿名化されるため、ジャーナリスト・反体制活動家・内部告発者の正当な利用がある一方、サイバー犯罪マーケット、ランサムウェアのリークサイト、盗難データブローカー、児童虐待コンテンツなどにも悪用されます。脅威インテリジェンスチームは、漏洩した認証情報、エクスプロイトの売買、攻撃者インフラの発見のために監視します。対策には継続的なダークウェブ監視サービス、認証情報漏洩検知、テイクダウンの連携、必要に応じた既知の Tor 出口ノードの境界遮断などがあります。

匿名性の仕組みと、それが破られる理由

Tor の Onion Service には、サーバの公開鍵から導出された .onion アドレスを通じてアクセスします。クライアントとサーバは、互いの IP を知ることなく導入ポイントでランデブーします。トラフィックは 3 層の暗号化で包まれ、ボランティアのリレーを経由して転送されるため、単一のホップが送信元と宛先の両方を見ることはありません。これは本当に強固です。しかし、その背後にいる人間とソフトウェアはそうではありません。法執行機関が暗号そのものを破ることはまれで、代わりに運用上のセキュリティ(OPSEC)のミス、サーバの設定不備、暗号通貨の追跡、内部への潜入を突きます。

テイクダウンの記録はそのパターンを示しています。Operation Bayonet(2017 年 7 月)は、当時 20 万人を超えるユーザーを抱えた最大級のダークネット市場 AlphaBay を押収し、創設者 Alexandre Cazes を逮捕しました。その間、オランダ警察は競合市場 Hansa を数週間ひそかにハニーポットとして運営し、逃げ込むユーザーの匿名化を解除しました。Operation Cookie Monster(2023 年 4 月)は、アカウント乗っ取り用に盗まれた Cookie・認証情報・ブラウザフィンガープリントを束ねた「ボット」を販売していた Genesis Market を解体しました。Operation Cronos(2024 年 2 月)は、LockBit ランサムウェア集団を打撃し、8 か国にわたって 34 台のサーバー、ソースコード、復号鍵を押収しました。

防御側にとっての実践的な教訓は、エクスポージャー監視です。自組織のデータについてリークサイトや認証情報のダンプを監視し、盗まれたパスワードの有用性を下げるために MFA とパスキーを強制し、観測された攻撃者インフラをブロックリストに投入します。

flowchart LR
  U[ユーザー<br/>Tor Browser] --> G[ガードリレー]
  G --> M[中継リレー]
  M --> R[ランデブーポイント]
  R --> H[Hidden Service<br/>.onion リークサイト/市場]
  H -.->|OPSEC のミス<br/>サーバ設定不備<br/>暗号追跡| LE[法執行機関<br/>テイクダウン]