光があれば陰があり、そして闇がある。。。

そのためダークウェブは、違法取引やサイバー犯罪の温床となっている。ある調査によれば、ダークウェブ上に存在しているサイトの半数以上で何らかの 違法取引が行われているという。たとえば薬物や武器、（盗まれた）クレジットカード番号やパスポートなどの売買だ。つい先日も、日本人の個人情報約2億件 が中国語のダークウェブで販売されていたと報道された。こういった取引の決済手段として、（クレジットカードなどから素性が明らかになることを避けるため に）仮想通貨が用いられている。

これだけ見るとダークウェブは非常に閉ざされた空間であり、なかなかアクセスできない世界であるように感じられる。しかし実は、中に足を踏み入れる こと自体はそれほど難しくはない。利用者の素性と通信経路を隠すことができる「Tor（トーア）」や「I2P（アイツーピー）」と呼ばれるソフトウエアを 用いることで、誰でもアクセスは可能になる。

もともと方法さえわかっていれば、誰でもアクセス可能だったダークウェブ。そこに仮想通貨の認知が徐々に高まってきたことやサイバー犯罪がこれまで 以上に大きく報じられるようになったことで、最近では初心者が興味本位でダークウェブの世界に入り始めているとも言われている。つまり、それだけダーク ウェブというものが多くの人に浸透し始めてきたということだ。

企業に与える影響は｢情報漏洩｣や｢風評被害｣がメイン

ダークウェブのインパクトはビジネスの世界においても無視できないものになりつつある。もはやどの企業も「ウチは関係ない」とは言い切れない状況にあると言ってもいい。

昨年、米国のサイバーセキュリティ関連企業が発表したデータによれば、2017年度版の米フォーチュン500にリストされている企業（日本からはト ヨタ自動車やホンダ、日本郵政、NTTなどがランクイン）はすべて何らかの形でダークウェブ上で言及がなされていると言われている。特に数多く言及されて いるのがテクノロジー系企業であるというのは想像に難くないが、金融企業やメディア、航空会社、流通小売企業など、幅広い業界、業種で言及がなされてい る。

もちろんダークウェブ上で語られているからといって、それがそのまま何らかの危害に直結するわけではない。だが、ビジネスにインパクトを与える可能 性のあるリスク要因であることは間違いない。ダークウェブ上で頻繁に語られているということは、それだけサイバー攻撃の標的にされる危険性も高いと考えら れるし、情報漏洩や風評被害などの被害に発展する可能性も大いにある。

実際、ダークウェブ上では世界規模のサイバー攻撃に用いられるようなマルウェア（不正かつ有害な動作を行うウイルスなど）が非常に多くやり取りされ ている。こういったマルウェアは世界中のハッカーたちの手によって日々改良が重ねられ、その攻撃力も増している。ダークウェブがハッカーたちの共同の制作 環境になっている。

このようなハッカーたちの活動は、マルウェアの制作や改良だけにとどまらない。今はダークウェブ上でサイバー攻撃の依頼を受け、ダークウェブを通じ てメンバーを集め、依頼主から成功報酬を仮想通貨で受け取るようなことも行われているという。これは”HaaS（Hacking as a Serviceの略）”と呼ばれており、いわば制作から攻撃までを請け負う「サイバー攻撃のパッケージサービス」のようなものだ。

廃棄したパソコンから情報が漏洩するリスクも

近年、ダークウェブではその取引でやり取りされるものにも変化が見え始めている。これまでよく取引がなされていた薬物や武器だけではなく、企業に関 する機密情報が増えてきた。たとえば社員の個人情報や企業内でやり取りされるメールやファイル類などだ。これらのファイル類には経営幹部の会議に用いられ るような機密が満載された資料なども少なくない。場合によっては企業の財務情報や取引先との契約書、さらには資金のやり取り、不正行為の隠蔽工作に関する 文書やメールなどもやり取りされるケースがある。

今や機密データが漏洩する原因はサイバー攻撃だけではない。むしろ最近になってダークウェブ上で多くやり取りされているのは企業が廃棄したパソコン から復旧されたデータだ。たとえば企業が廃棄したはずのパソコンが中古パソコン店などに流れ、それを購入した人が何らかの手でデータを復旧させ、それを ダークウェブで販売しているようなケースである。あるいは、小遣い稼ぎや（リストラなどの）意趣返しを目的に意図的に機密データを盗み出し、ダークウェブ 上のマーケットで売りさばくようなケースも少なくない。

もともと特別に高いスキルや設備を要求されることもなく、誰でもアクセスできるうえに、その存在自体が徐々に広く知られるようになってきたことで、 ダークウェブ上にこういった新たなマーケットが生まれるようになってきた。今後企業は今まで以上に、オンライン上の“脅威”に対して自衛していくことが必 要になってくるだろう。

自衛とは単にこれまでのように自社のシステムの防御を強固にするということだけではない。社員一人ひとりが情報セキュリティに対するリテラシーを高 めることが必要だ。個人が興味本位でダークウェブに足を踏み入れることでリスクが増大している今、企業は、まずダークウェブ上でアンダーグラウンドな取引 に手を染めるということ自体が違法であり、処分の対象になるということを周知する必要がある。

さらにダークウェブからもたらされる脅威に対して“受け身”の対応だけではなく、自発的に動いていくことも求められる。そのためにはダークウェブ上 で何が今起こっているかをきちんと把握し、次に自分たちにどういった危機が降り掛かってくるかを予測する仕組みが必要だ。実際にそういったサービスを提供 する事業者も昨今拡大するニーズに伴い増えてきている。

このようなダークウェブ上の（簡単には気づかれない）情報のやり取りを早い段階で察知することで、たとえば“HaaS”を利用したサイバー攻撃だけではなく、爆破予告や殺人予告、あるいは風評被害や名誉毀損を引き起こすような事案の抑止にもつながる。

ダークウェブで行われていることは、もはや「知らない」では済まされない。企業にとって自分たちを守るためにも、その存在を認識し、きちんとしたアクションを取る必要があるのだ。

［東洋経済ONLINE］