ハッカーの OSINT 活用法 ～ 日本ハッカー協会 杉浦氏講演

　「イスラエルのある諜報の専門家は、レポートの 9 割は OSINT（公開情報の分析）から得られると主張する」

　こう語るのは、一般社団法人日本ハッカー協会 代表理事 杉浦 隆幸 氏だ。杉浦氏は同協会を通じ、ハッカーの活躍を支援し、同時に法執行機関の無理解からハッカーを守る活動を一貫して行っている。氏自身も OSINT の専門家であり、競技会やセミナーを開催している。昨春開催された Security Days 2021 Spring では、各会場で OSINT の実際を紹介するセッションを行った。どんな内容だったのか。

●優秀なハッカーは公開情報をバカにしない

　世界に散財するデータは、ただ存在しているるだけだ。なんらかの分類や意味を持たせることで、データは「情報」となる。それらをさらに集め、分析、評価、検証を加え特定の人や目的にとって有益なもの、意思決定に役立つものになったとき、情報は「インテリジェンス」となる。インテリジェンスというとスパイ活動のようなイメージを持つかもしれないが、その土台となるものは、公開情報から必要な情報を探して分析する OSINT だ。

　優秀なハッカーは公開情報ベースだからといって OSINT をバカにはしない。収集に法的なリスクがないことも理由のひとつだが、詳細分析により多くの有益な情報が手に入るからだ。

　杉浦氏はいくつかの例を示しながら公開情報インテリジェンスの奥深さを示した。

●ソースコードに求人情報

　たとえば、ソースコード。ウェブページのソースコード（ HTML ファイル）はブラウザで表示させることができる。ソースコードから、そのサイトのさまざまな情報が手に入る。退会手続きのページが検索されないように（たどり着きにくいように）、メタ情報を埋め込んでいることをハッカーや専門家に暴露されたニュースを見たことがあるだろう。

　ホワイトハウスのホームページには、ソースコードの中に求人情報が埋め込まれていたことがある（杉浦氏）という。もちろんセキュリティ関連人材の募集だが、「日ごろホームページのソースをチェックしているような人」だけが応募できる仕掛けだ。面接官より精度の高いスクリーニングができそうだ。