TA

BL

EOFCO

NT

E

NT

S

メガバンクのセキュリティを中心に JC3 など幅広くサイバー犯罪対策に注力

八子浩之 インタビュー… ……………………………………………………………………… 3
社会のさまざまな動向を把握し、リスクの変化に対応したセキュリティ体制を構築

HISYS CSI（Cyber Security Intelligence）Watch 2024.02………………………………… 10
セキュリティツールを実践的に紹介する連載企画

Let's try IoT 検索エンジン！ 3. サービス探索編… ………………………………………… 11●はじめに
本文書は、株式会社日立システムズ サイバーセキュリティリサーチセンタが運営するセキュリティ情報サイト、S.S.R.C.(Shield SecurityResearch Center) の公開資料です。本サイトでは、本文書のバックナンバーをはじめ、S.S.R.C. によるリサーチ結果などを随時公開しています。
S.S.R.C. https://www.shield.ne.jp/ssrc/●ご利用条件
本文書内の文章等すべての情報掲載に当たりまして、株式会社日立システムズ（以下、「当社」といいます。）と致しましても細心の注意を払っておりますが、その内容に誤りや欠陥があった場合にも、いかなる保証もするものではありません。本文書をご利用いただいたことにより生じた損害につきましても、当社は一切責任を負いかねます。
本文書に記載した会社名・製品名は各社の商標または登録商標です。
本文書に掲載されている情報は、掲載した時点のものです。掲載した時点以降に変更される場合もありますので、あらかじめご了承ください。
本文書の一部または全部を著作権法が定める範囲を超えて複製・転載することを禁じます。
© Hitachi Systems, Ltd. 2024. All rights reserved.

2

八子 浩之み ずほフィナンシャルグループ み ずほ銀 行
サイバーセキュリティ統括部
サイバーレスポンスチーム 参事役

インタビュー心にィを中テリ
力
ュ策に注のセキ対ク罪ン
犯ーメガバ
サイバく広ど幅JC3 な「現在、不正送金被害はマルウェアからフィッシングへ完全に移行しています」と話す八子浩之氏は、株式会社ラックからみずほ銀行に移り約 6 年、一貫してセキュリティに取り組んでいる。また、ラック時代から JC3（一般財団法人日本サイバー犯罪対策センター）に参画している。今回、八子氏に不正送金やフィッシングの現状と対策への取り組みなどについてお話を伺った。

取材・文 = 吉澤亨史／撮影・編集 = 斉藤健一

3

セキュリティ企業から銀行へ
吉澤（以下）：最初に八子さんの経歴と現在のお仕事について教えてください。
八子（以下）：前職はラックで、2001 年からセキュリティ関連のコンサルティング部門で CIRTの支援やガバナンスを中心に担当していました。
そして 2017 年に現職であるみずほフィナンシャ
ルグループのみずほ銀行へ転職しました。現在はサイバーセキュリティ統括部のサイバーレスポンスチームに所属し、CIRT 業務を中心に、インシデントレスポンス、不正送金、フィッシングなどに対応しています。また、最近では SOC（セキュリティ・オペレーションセンター）や脅威インテリ八子浩之（やこ · ひろゆき）

ジェンスなどにも関わるようになりました。

インシデント対応の CSIRT の担当や SOC の運用 ·

セキュリティに関わるきっかけ、あるいは興味企画、脅威インテリジェンスの担当など多岐の業を持ったきっかけは何だったのでしょう。

務をこなす。インターネットバンキングの不正送

父親が警察官でしたので、警察官になりたい金の対策業務、フィッシング対応も担当。

と思った時期もありました。ラックにはセキュリティ業務もあり、警察に近しいと思い興味を持ち始めました。2016 年 6 月には JC3 として マルウェました。

ア（Gozi）の注意喚起を発表したり、脆弱性攻撃治安の維持はまさにセキュリティですし、2022ツール「RIG-EK」の改ざんサイト対策を実施した年にはサイバー警察局も設立されました。確かにりしました。他にもマルウェアに感染していない近しくなっています。

か確認できるチェックサイトの運用なども行ってきました。

就職活動中に、知り合いからセキュリティは比較的新しい分野であると聞いていました。ですか

ほぼ JC3 の設立から、現在まで活動を続けられら、このタイミングでセキュリティ分野に携わるているのですね。JC3 以外での活動はいかがですか。

ことで、少しでもアドバンテージが得られるだろ金融 ISAC にも積極的に参加しています。また、うと感じていました。また、「スニーカーズ」と金融 ISAC とは別で金融機関同士でもさまざまないう映画にも影響を受けています。この映画は、関係を築いています。他にも、フィッシング対策セキュリティシステムをハッキングするために当協議会をはじめ、複数の個別のプロジェクトへも時の最新機器を駆使するなどの頭脳戦が描かれて参加しています。依頼を受けて講演することもあおり、強く印象に残りました。

ります。

本業以外の活動として、JC3 に長く参画していらっ不正送金の現状と傾向、世界との違いはしゃいます。この経緯について教えてください。
ラック時代には金融関係のセキュリティにも関わっていました。サイバー犯罪の知見を高めるためにも外部の団体への参加を促されて、2014 年

2023 年 8 月に警察庁・金融庁が発表した注意喚起によると、不正送金被害が 2012 年（平成 24 年）に JC3 へ参加しました。設立から間もない時期で、から 2014 年（平成 26 年）にかけて増加し、その犯罪に関するデータの収集も分析も十分ではあり後 2018 年（平成 30 年）までは減少、2022 年（令ませんでした。そこで、当時多発していたマルウェ

和 4 年）から再び急増しています（図 1）。この推アによる不正送金のデータを分析するところから移にはどのような要因があると考えられますか。
4

警察庁・金融庁「フィッシングによるものとみられるインターネットバンキングに係る不正送金被害の急増について（注意喚起）」より。
https://www.npa.go.jp/bureau/cyber/pdf/20230808_press.pdf【編注】今回のインタビューは 2023 年 12 月 19 日に行われた。同 25 日には警察庁が 2023 年 11 月末におけるデータを元に注意喚起を発表している。
https://www.npa.go.jp/bureau/cyber/pdf/20231225_press.pdf
図 1 インターネットバンキングに関連する不正送金の発生状況と被害額の推移

同会社などの法人口座宛てへの振り込みが確認さこれを読み解くのはなかなか難しいと思います

れ始めています。

が、2015 年からの盛り上がりは Zeus 系や Gozi系といったマルウェアを中心とした不正送金だっそうした変化が見られるのですね。たと考えられます。

届出されている電話番号に連絡しても通じないマルウェア関係の盛り上がりとその終焉というので、不正送金を目的としたペーパーカンパニー流れですね。それで 2018 年（平成 30 年）ごろにの可能性が高いようです。また、数年前から IP ア

ほぼ底を打っています。

ドレスにレジデンシャルプロキシ IP（ISP が提供

そこからフィッシングに移行していったと考えする IP アドレス）を使うケースが目立っていまられます。2019 年（令和元年）はフィッシング元す。一般の方とほぼ変わらない環境から来るので、年といえるでしょう。フィッシング増加の要因の 1

端末の IP 情報などで検知することが難しい状態につはその効率の良さです。フィッシングサイトのなっています。

構築が簡単であり、かつ認証情報の窃取も容易でフィッシングから不正送金という流れは、世界す。このことに犯罪者が気づいたのだと思います。的にはどうなのでしょう。この急増は日本だけの状況なのでしょうか。

わざわざコストと時間をかけてマルウェアを開発し、ターゲットに感染させなくても、簡単に ID

2023 年 に、 海 外 に お け る フ ィ ッ シ ン グ の 状とパスワードを入手できますからね。

況 を テ ー マ に、JC3 の 兄 弟 組 織 で あ る NCFTA

もう 1 つは、スマートフォンの普及です。スマー（National Cyber-Forensics & Training Alliance：サトフォン経由の方が画面も小さいことからフィッイバー脅威への対処を目的に発足した米国の非営シングサイトで認証情報を取りやすいということ利団体）に行ってきました。現地の方に聞くと、はあるかも知れません。もちろん、増加の要因に日本のような不正送金がほとんどないとのことでは他にも複数あるとは思います。

した。

不正送金に使われる送金先の傾向に変化はあり海外ではどのような被害が多いのでしょうか。

ますか。

BEC（ビジネスメール詐欺）の被害が多く、特以前は個人名義が多く、外国人名が多かったのに米国では被害に遭ってしまうと損害額が 1 兆円ですが、ここ数年は暗号資産への振り込みが多くに及ぶこともあるそうです。また、Stealer 系のマなっています。最近では株式会社や有限会社、合ルウェアが多くばらまかれていて、これにより認5

は至っていません。ただ、当行は一般的な傾向と少し異なる傾向があります。例えば、2019 年（令和元年）はフィッシング元年として不正送金被害が急増しましたが、当行ではあまり被害がありませんでした。
フィッシング以外の攻撃による被害も少なかったのですか？
被 害 件 数 が 少 な い 状 態 で 個 別 分 析 す る と、フィッシングでもマルウェアでもない形で情報を窃取されたケースがあります。お客様に話を聞くと、クラウドサービスから認証情報が漏えいして、その ID とパスワードでログインされたとのことです。現在のようにフィッシングが増加すると埋もれてしまうかも知れませんが、こうしたケースも一定数あると考えられます。
証情報や Cookie などのセッション情報を窃取しマルウェアも、不正送金を目的としたもの以外た上で、おそらく Microsoft 365 や Gmail といっは活発です。

たメールを侵害していくと推測しています。

マルウェアについても整理が必要です。インター

米国でも 3 ～ 4 年前はフィッシングが確認された

ネットバンキングにアクセスする際には、PC とスそうですが、それが徐々に特定の個人を標的としマートフォンの 2 つの経路があります。PC に感染たスピアフィッシングにシフトしていったと聞いして、Web インジェクションを使って認証情報をています。

盗むマルウェアは、ほぼ絶滅しています。一方、日本のようなフィッシングが米国でほとんどなスマートフォンアプリでは Android を狙うマルウェいのは、どのような理由があると考えられますか。

アが増加しています。これらのマルウェアは感染そもそも米国の金融機関は即時振込ができないして悪意のある SMS をばらまくタイプです。など独特ですので、マルウェア全盛のころから傾スマートフォンを狙う攻撃が増えた理由は何で向が異なっていたと思います。

しょう。

日本のインターネットバンキングを狙う犯罪者

スマートフォンによるオンラインバンキングのグループは日本に精通している印象があります。

利用増加です。各金融機関とも物理的な店舗を減

日本の言語や商習慣はもちろん、政治や経済、らしてお客様をオンラインに誘導していますし、国民の関心事など、さまざまなことに詳しいです

スマートフォンからの利用におけるユーザーエクね。他の国を狙うアクターとは異なり独特です。

スペリエンスの向上にも取り組んでいることなどこれがクレジットカードを狙うアクターになるが、背景にあると考えられます。

と、アンダーグラウンドのキットを使うケースが銀行をかたるフィッシングは一時期、その対象多いので、やはりアクター像は異なります。

が地方銀行まで広がり、最近ではまたメガバンク系が中心になっています。これは犯罪者側の試行不正送金は錯誤のようなものがあったのでしょうか。

マルウェアからフィッシングへ移行

2019 年から 2020 年にかけてフィッシングの対象が地方銀行に移る動きがありました。2020 年

現在は、不正送金に関するマルウェアはほとんから 2021 年は標的が銀行以外に移り、不正送金ど検知していない状況でしょうか。

額は減少傾向、フィッシングが増加傾向だったの2019 年以降はほとんど検知しなくなりました。

ですが、2022 年 8 月ごろからまた銀行が標的に年に 1 ～ 2 回検知することはありますが、感染になりました。当行も狙われまして、そこで犯罪者
6には成功体験があったのだと思います。2022 年
はまた、ワンタイムパスワード（OTP）を突破す今後のフィッシング動向とるパターンが確立されたように感じています。そ対策への取り組みのため、ユーザーの多いメガバンクを狙っていると思います。今後メガバンクの対策が進んでいけアンダーグラウンドでは Phishing as a Service

ば、再び地方銀行に手を広げていくこともあり得が提供されており、犯罪初心者でも簡単にフィッるでしょう。

シングができる環境になっていると言われていま

フィッシング対策協議会の 10 月のレポート※ 1

す。フィッシングの今後の動向について、どのように考えていますか？

では、検知数は過去最高を更新した一方で、分野別では金融系が大きく減少しています。これは何いろいろな方とお話する中で、クレジットカーか要因があると思いますか？

ドを狙うフィッシングはキットが出回っていて、同時期の不正送金の被害額は、従来と桁が違う誰でも使えるといいます。銀行業界はクレジットくらいに高い状態が続いていましたから、報告数

カード業界とは異なりますが、攻撃的なアクターとの相関関係はあまりないという印象です。そのグループが金融機関を順々に狙っている状況が見時期はフリーの DNS サービスを使ったフィッシえています。

ングサイトが非常に多く、また特定の銀行を狙っまだ大規模で同時並行的なフィッシングは発生たフィッシングも多くありました。していないのですね。

フィッシングサイトの数と被害件数も相関関係

この状況が続く限り、フィッシングは減らないはないということですね。

と思います。仮に減ったとしても、それはアクター

ただ、フィッシングメールの数と被害件数は相グループが休んでいたり、他の業種を狙っていた関関係にあると思います。いわゆる「ばらまき型」りするためだと考えるのが自然です。アクターにの増加ですね。銀行のケースでは、2019 年に金融とってはメールを送るだけですからコストはかか庁などの金融作業部会の FATF（Financial Actionりませんし、逮捕される可能性も低い。それにもTask Force、金融活動作業部会）から、マネーロンかかわらず数億円を儲けられるわけですから、やダリング対策として取引時の口座の目的確認と本めることはないでしょう。

人確認を重視しなさいという勧告がありました。

フィッシング対策の手法の 1 つである OTP にその注意喚起のメールがフィッシングに悪用さよってマルウェアを含めて攻撃が減少していました。しかし、OTP も突破されるようになってきてれましたね。
その通りです。銀行はこれを受けて、お客様にいますから、認証の仕組みを考え直す必要がある

対して「ここにアクセスして本人確認をしてくだということですね。現在でのフィッシング対策のさい」というメールやハガキを送りましたが、そ状況についてお聞きしたいと思います。まず、八の通知を悪用したフィッシングが増加しました。

子さんが行っているフィッシング対策のための活通知の文面をそっくり使ったため日本語に違和感動について教えてください。

もなく、慌ててアクセスして被害に遭う人が続出

私 も 講 演 な ど で お 話 し し て い る の で す が、しました。それが成功したので、犯罪者は文面をフィッシング対策は「点」ではなく、キルチェー少し変えて別の銀行をかたるフィッシングも増えンといった「面」での対策が必要です。フィッシました。これがここ 1 ～ 2 年の傾向ですね。

ングサイトを止めるだけでなく、例えば犯罪者がお金にするところを止める。これにより被害が減り、最終的にフィッシングサイトがなくなるケースはあると思っています。

※ 1 フィッシング対策協議会「2023/10 フィッシング報告状況」		 https://www.antiphishing.jp/report/monthly/202310.html

7フィッシングのライフサイクル全体を止めていくわけですね。
入口となるフィッシングサイトの発見については、コミュニティやフィッシングハンターの方々、あるいは各金融機関、業界をまたいだ連携によって連絡をいただいています。また、テイクダウンの手法などを共有したり、場合によっては他行のフィッシングサイトを一緒に落としてみたりと、フィッシングの対応にできる限り力を入れています。
JC3 が注力している取り組みですね。
犯罪者が窃取した認証情報でログインして送金する部分について、その検知やモニタリングは金融機関同士で情報交換をしたり、停止方法などを共有したりしています。本当に被害が多くなったときには、サービスを一時的に絞り込むことも検討しています。ただ、そのためには通信キャリア

図 2 みずほ銀行「不正送金被害疑似体験コンテンツ」

やクレジットカード会社、あるいは警察などともhttps://www.mizuhobank.co.jp/crime/zero/simulation/index.html

連携して取り組む必要があると考えています。せている意味はあると思っています。注意喚起も各社にセキュリティのエース級の人たちがい必要に応じて発表しています。先述の 2023 年 8て、一緒に戦っているのに、被害やフィッシング月の合同注意喚起は事情があって警察庁と同時にサイトがなくならないことは悩ましいですね。

出せませんでしたが、今後も工夫しながら続けていきたいですね。

産官学の連携も役割がそれぞれにあると思いますし、金融機関は対策、警察サイドは犯人を特定して捕まえるなどの役割もあります。これまで分不正送金の被害に遭わないために断されていたところと積極的に情報共有ができる周知に取り組んでいくようになっていますので、これをさらに推し進め今後の展望について、どうお考えですか。

ていきたいですね。

まず、国として警察庁がサイバー特別捜査隊をユーザー向けの注意喚起など、情報発信への取作り、国際捜査を積極的に進めていくことは明るり組みについて教えてください。
ユーザー向けには、「不正送金被害疑似体験コい材料ですので、期待したいと思います。ただ、ンテンツ」を公開しています（図 2）。このコンテ現在主流となっているフィッシングを起点としたンツでは、スマートフォンの画面で不正送金被害

不正送金については、ID とパスワードに頼らないの疑似体験ができるようになっています。JC3 が認証の仕組みに移行しない限り難しいと考えてい監修していて、ロゴが入っていることもポイントます。逆に言えば、そこは目指すべきところの 1です。また、Web サイトの更新も頻繁に行っていつだと思います。

ます。最新のフィッシングメールの文面を公開しインタビュー冒頭の質問は警察庁の 2023 年上

たり、サポート詐欺が確認されればすぐに載せた期の注意喚起をベースにしていますが、下期はどりするようにしています。

のような状況になりそうでしょうか。
かなり悪い状況になると思います。倍では収ま取り組みの効果はいかがですか？
「受信したメールの文面で検索したら、みずほらない、信じがたい数字になるでしょう※ 2。最近銀行のサイトがヒットして、同じ文面だったのではフィッシングの認知度も上がってきていて、でフィッシングメールだとわかった」と、X（旧増加していることも何となく理解している方も増Twitter）に書き込んでいた方もいましたので、載えていると思います。それでもフィッシングメー
8ルが届いてしまうと慌ててしまい、騙されてしま

正送金に対する啓発 CM などの提言は今後も続けうのでしょう。

ていきたいと思います。今回のインタビューも、セキュリティに詳しい方たちだけでなく一般の方厳しい状況ですね。さまざまな媒体での注意喚にも広く読んでいただきたいと思います。少しで起も有効だと思いますが、いかがでしょう。
はい。講演は今後も依頼いただければ行っていも被害に遭う方が減れば本望です。

きます。また、テレビなどのメディアは影響力が本日はありがとうございました。

大きいので、政府や警察庁でのフィッシング、不※ 2【編注】2023 年 12 月 25 日に警察庁が 11 月末におけるデータとともに注意喚起を発表している。それによると、被害件数は5147 件（前年比約 4.5 倍）、被害額は約 80.1 億円（同 5.3 倍）となっている。

9

社会のさまざまな動向を把握し、リスクの変化に対応したセキュリティ体制を構築

HISYS CSI（Cyber Security Intelligence）Watch 2024.02
文＝ SHIELD Security Research Center

報告の分析と考察【概要】：フィッシング詐欺による被害が増加しておフィッシング詐欺被害の増加傾向はコロナ禍以降で見られたが、2023 年は顕著に増加している。各機関から発行されたフィッシング詐欺に関する報告を分析し、機関ごとの報告の特色を考慮しつつ、フィッシング増加が確かであることを確認した。
図2018 年

2019 年

2020 年

2021 年2022 年2023 年

不正送金件数（金融庁・警察庁）

フィッシング詐欺報告件数（フィッシング対策協議会）

フィッシングサイト件数（APWG）

フィッシングサイト件数（JPCERT/CC）■ APWG︵万件︶

り、金融庁と警察庁が連名で注意喚起を行った。

■フィッシング対策協議会■金融庁・警察庁 ■ JPCERT/CC︵万件︶

各機関のフィッシング詐欺増加に関する各機関のフィッシングに関する統計【内容】：2023 年 12 月 25 日、メールや SMS など

シング対策協議会や APWG に比べ少ない。参考程を利用したフィッシング詐欺と推測される手口に度の情 報となるが、2020 年は約 2 万件、2022 年

よってインターネットバンキングの ID、パスワードなは約 3 万件と、この報告でも増加傾向を見ることがどが盗まれ、不正送金される被害が多発しているできた。なお、セキュリティベンダーもフィッシングとして金融庁と警察庁が連名で注意喚起を行った。

詐欺の報告を行っており、例として、BBSS（BB ソフ

過去最も被害額が多かった 2015 年の被害額 30.7

トサービス株式会社）の報告でも被害の増加が見て億円に比べ、2023 年の被害額は約 2.6 倍の 80.1取れるが、他機関の報告数と差がある（2023 年 11 月、億円と急増している。

BBSS は 541 万件、フィッシング対策協議会は 1 万件）
ため、総合的に判断する必要がある。

本件をきっかけに、さまざまな機関から発行されているフィッシング詐欺に関する統計データを分分析により、各機関の統計に差はあれど、総じ析した。まず、フィッシング対策協議会の報告ではてフィッシング詐欺の増加が確かであると判断でき2020 年は 22 万件 程 度だったものが、2022 年にた。これは、PhaaS（Phishing as a Service）のようは 96 万件と約 4 倍に増加している。ただ、この結なフィッシング詐欺の実行を補助するサービスの充果はフィッシング対策協議会宛に報告された件数

実や、生成 AI 活用による作業効率化によって、よりであり、暗 数も多い。次に APWG（Anti-Phishing

多くの攻撃実施が可能となったことが原因であるとWorking Group）の報告でもコロナ禍後に増加傾推測される。被害を防ぐには不審な URL や広告は向が見られる。この統計データは APWG の会員組クリックしないよう心掛けることや、セキュリティ製織から報告されたフィッシングメール／サイト情報品の導入が有効である。また、Google や Yahoo、を集計したものであり、こちらも暗数は多いとみら

Microsoft は DMARC への対応を表明しており、それるが、世界中のデータが集まるため大まかな世界れぞれガイドラインを公開している。これに伴い認情勢を確認しやすい。次に、JPCERT/CC の報告は、証基準を満たしていないメールは受信が拒否されるインシデントとして報告されたものの中からフィッようになるが、これもフィッシング詐欺対策を含めシング詐欺をまとめたものであり、検知数はフィッたメールセキュリティの向上が背景にある。

［情報源］https://www.fsa.go.jp/ordinary/internet-bank_2.html

https://www.antiphishing.jp/report/monthly/		

https://www.sagiwall.jp/report/

https://apwg.org/trendsreports/

10

セキュリティツールを実践的に紹介する連載企画

Let's try IoT 検索エンジン！

3. サービス探索編

文＝ SHIELD Security Research Center1．はじめに
本稿は、各種セキュリティツールを実践的に紹介する連載企画です。前号より第三部「IoT 検索エンジン」と題し、「Shodan（ショーダン）、Censys（センシス）」といった IoT 検索エンジンを用いた脆弱性確認手法などを解説します。自組織が管理しているサーバーが外部からどのように見えているのかといった確認に利用したり、管理しきれていない隠れたサーバなどを探索したりし、リスクの軽減に活用可能です。
「IoT 検索エンジン」は次の 4 部構成となっています。
1. 基礎知識編
Nmap を利用して、ポートスキャンを試行します。
2. 所有サーバー確認編
自身が管理している IP アドレスなどがわかるサーバーが「Shodan、Censys」といった IoT 検索エンジンでどのように見えるのかを確認します。
3. サービス探索編「Shodan、Censys」といった IoT 検索エンジンを用いて、探索したいサービスが稼働しているサーバーを探索します。また、自組織で管理できていないサーバーを探索する際にも利用します。
4. サーバー探索編「Shodan、Censys」といった IoT 検索エンジンを用いて、サーバーを探索します。また、自組織で管理できていない脆弱なサーバーを探索する際にも利用します。
IoT 検索エンジンと呼ばれる「Shodan、Censys」ですが、インターネット上に公開されているサーバーなど、さまざまな情報を収集しており、検索・閲覧が可能なサービスです。
「③サービス探索編」では、「Shodan、Censys」を用いて、特定のサービスが稼働・公開されているサーバを確認します。
本稿の安全性には留意していますが、安全を保証するものではございません。
OA 端末で実施するのではなく、分離された回線内および機器を利用することを推奨いたします。

11

2. Shodan、Censys を用いた脆弱なサーバーの探索「Shodan、Censys」を用いて、特定のサービスが稼働・公開されているサーバーを確認します。インターネット全体の状況を確認する際などに利用します。本稿の画像、表示内容などは、本稿執筆時点のものです。時間経過とともに、内容が異なる場合があることにご注意ください。なお、本稿を用いて確認されたサーバーへ、スキャンを始めとした攻撃は絶対に行わないようにしてください。
2.1 ポート番号による検索（Shodan）
特定の Port が開いているサーバーを確認します。「Shodan」を開き、「port:3389」で検索します。
検索結果は次の通りです。

3389 番ポートは、リモートデスクトップ接続に必要なポートです。「Shodan」からは、3389 番ポートが空いているサーバーが、400 万台以上存在することが確認できました（本稿執筆時点）。
「Shodan」
では、検索する際に「検索対象：キー」の形で検索します。
2.2 ポート番号による検索（Censys）「Shodan」同様、特定の Port 番号が開いているサーバーを確認します。「Censys」を開き、「services.
port:3389」で検索します。検索結果は次の通りです。

12

「Censys」からも、3389 番ポートが空いているサーバーが、400 万台以上存在することが確認できました（本稿執筆時点）。「Censys」でも、検索する際に「検索対象：キー」の形で検索しますが、検索対象の指定が異なり「.（ドット）」を用いて細かく指定します。
2.3 プロダクト（製品名）による検索（Shodan）
特定のプロダクトを確認します。「Shodan」を開き、「product:”Fortinet FortiGate”」で検索します。
検索結果は次の通りです。

「Fortinet 社製 FortiGate」と認識されている機器が、約 65 万存在することが確認できました（本稿執筆時点）。
次に、各サーバーの詳細ページへ遷移します。以下の図のように製品の型番など詳細情報が閲覧できる場合があります。

13

2.4 プロダクト（製品名）による検索（Censys）「Shodan」 同 様、 特 定 の プ ロ ダ ク ト を 確 認 し ま す。「Censys」 を 開 き、「services.software.
vendor:`Fortinet`」で検索します。検索結果は次の通りです。

「Fortinet 社製」と認識されている機器が、約 200 万存在することが確認できました（本稿執筆時点）。
2.5 OS による検索（Shodan）
特定の OS の機器を確認します。「Shodan」を開き、「os:”Windows”」で検索します。検索結果は次の通りです。

さらに詳細の OS の数を確認したい場合には、左側のサマリから絞り込むと便利です。
「TOP OPERATING SYSTEMS」の「More」をクリックします（次ページ図）。

14

利用率が高い OS が表示されますので、絞りたい OS をクリックします。ここでは、「Windows11（version 22H2）（build 10.0.22621）」をクリックします。

クリックした結果は、以下の通りです。「Windows 11 (version 22H2) (build 10.0.22621)」で絞り込んだ結果が表示されます（次ページ図）。

15

2.6 OS による検索 (Censys)
特定の OS の機器を確認します。「Censys」を開き、「services.software.product:`Windows`」で検索します。検索結果は次の通りです。

3． おわりに今回はここまでとなります。「3. サービス探索編」では、「Shodan、Censys」を用いて、特定のサービスが稼働・公開されているサーバーを確認しました。自組織で管理できていないサーバーを探索する際等に利用したり、インターネット全体の状況を確認する際などに利用します。
次回は「4. サーバー探索編」となります。
「Shodan、Censys」といった IoT 検索エンジンを用いて、脆弱なサーバを探索します。自組織で管理できていない脆弱なサーバーを探索する際などに利用したり、インターネット全体の状況を確認する際などに利用します。

16