OSINT（オシント）とは？メールアドレスから個人情報流出を確認する方法
OSINT（オシント）は情報収集の手法として用いられますが、サイバー攻撃者の特定や個人情報流出の検知など、近年、サイバーセキュリティの観点からも注目されています。
「OSINTって、サイバー攻撃で利用されるって聞いているけど……」
そうなんです。
ターゲットとなる企業の従業員のメールアドレスや氏名、役職など、インターネット上で公開されている情報が収集・分析され、サイバー攻撃に利用されることがあります。
また、企業やWebサービスから過去に流出したメールアドレスやアカウント情報が、攻撃に悪用される可能性もあります。
逆に、企業側としては、意図せずに公開してしまっている情報がないか、自社や従業員のメールアドレスなどが過去の情報漏えいに含まれていないかを確認し、必要な対策を行うことで、サイバー攻撃による被害を防止・軽減することにつながります。
今回は、メールアドレスから個人情報の流出を確認できるOSINTツールや、流出していた場合の対応、企業として行っておきたい対策について詳しく解説していきます。
目次[非表示]
OSINTとは
OSINTとは「Open Source Intelligence（オープン・ソース・インテリジェンス）」の略で、一般公開されているあらゆる情報を収集・分析し、必要な情報を得る手法です。
国家安全保障上の諜報活動などでも活用されてきた手法で、新聞・ニュース・Webサイト・SNS・公開資料など、さまざまなものが情報源となります。
また、OSINTを活用した情報収集によって、インターネット上に公開されている情報や、過去のデータ侵害などによって外部に流出した情報を発見できる場合があります。
そのため、近年ではサイバー攻撃に対する防御やセキュリティ調査の目的でも活用されています。
ここで注意しておきたいのが、OSINTそのものが個人情報を「流出させる」わけではないという点です。
OSINTは、すでに公開されている情報や、何らかの原因によって外部に流出した情報などを収集・分析する手法です。
攻撃者が情報収集に利用する可能性がある一方、企業自身が「外部から自社についてどのような情報を確認できるのか」を調べるためにも利用できます。
メールアドレスから個人情報流出の有無を確認できるツール
個人情報流出の原因として、メールの誤送信や端末・記録媒体の置き忘れ、紛失などの人的ミスのほか、不正アクセスなどのサイバー攻撃があります。
また、自分自身や勤務先が直接サイバー攻撃を受けていなくても、利用しているWebサービスなどからメールアドレスやパスワードが流出する可能性もあります。
「自分のメールアドレスは大丈夫だろうか？」
そのようなときに役立つのが、メールアドレスなどから既知の情報漏えいを確認できるサービスです。
ここでは、個人情報が流出していないかを確認できる代表的なサービスをご紹介します。
アドレスを入力するだけ「Have I Been Pwned」
「Have I Been Pwned」は、メールアドレスを入力することで、既知のデータ侵害にそのメールアドレスが含まれていないか確認できるサービスです。
確認方法は簡単です。
- トップページの入力欄に確認したいメールアドレスを入力
- 「pwned？」をクリック
入力したメールアドレスが既知のデータ侵害に含まれている場合は「Oh no — pwned!」と表示されます。
一方、該当する情報が見つからなかった場合は「Good news — no pwnage found!」と表示されます。
また、メールアドレスを登録することで、今後そのメールアドレスが新たなデータ侵害に含まれた際に通知を受け取ることもできます。
企業の場合は、自社ドメインの所有権を確認したうえで、そのドメインに関連するメールアドレスの漏えい状況を確認する機能も提供されています。*1
ただし、「漏えいが確認されなかった」と表示されたからといって、個人情報が絶対に流出していないとは限りません。
Have I Been Pwnedが把握していない情報漏えいなどが存在する可能性もあるため、検索結果はあくまで確認できる範囲での結果として捉える必要があります。
*1 出典：Have I Been Pwned「Frequently Asked Questions」「Domain Search」
日本語でも確認できる「Mozilla Monitor」
「Mozilla Monitor」は、Mozillaが提供しているデータ侵害通知サービスです。
以前は「Firefox Monitor」という名称で提供されていましたが、現在は「Mozilla Monitor」として提供されています。
メールアドレスを入力することで、既知のデータ侵害に自分のアカウント情報が含まれていないか確認できます。
Mozilla Monitorでは、Have I Been Pwnedのデータベースを使用して既知のデータ侵害を確認しています。*2
また、Mozillaアカウントに登録することで、今後新たなデータ侵害が確認された場合に通知を受け取ることもできます。
日本語のサポートページも用意されているため、「まず自分のメールアドレスが漏えいしていないか確認してみたい」という場合にも利用しやすいでしょう。
ただし、Mozilla Monitorについても、すべての情報漏えいを網羅しているわけではありません。
検索結果に何も表示されなかった場合でも「絶対に安全」という意味ではないため、注意しましょう。
*2 出典：Mozilla Support「Mozilla Monitor - よくある質問と答え」
ダークウェブ上を調べる「ノートン ID アドバイザー」
「ノートン ID アドバイザー」は、ダークウェブなどをモニタリングし、登録した個人情報の流出を検知するサービスです。
ダークウェブとは、一般的な検索エンジンなどからはアクセスしにくく、閲覧に専用のソフトウェアなどが必要となる領域を指します。
匿名性が高いことから、流出したメールアドレスやパスワード、クレジットカード情報などが売買されることがあります。
ノートン ID アドバイザーでは、メールアドレスだけでなく、住所や電話番号、クレジットカード番号、銀行口座番号など、複数の情報をモニタリング対象として登録できます。*3
情報流出を検知すると通知されるほか、個人情報が不正利用された場合には、復旧支援を受けることもできます。
単発でメールアドレスを確認するというよりも、「自分の個人情報が流出していないか継続的に監視したい」という場合に適したサービスといえるでしょう。
*3 出典：ノートン「ノートン ID アドバイザー」
漏えい状況を詳細に把握できる「MIERUPASS（ミエルパス）」
『MIERUPASS（ミエルパス）』は、企業の情報漏えい状況を調査・監視するサービスです。
組織のドメインに関連するIDやパスワードなどが、ダークウェブなどに漏えいしていないかを調査し、情報漏えいの状況を可視化します。
最初に「調査」によって現在の漏えい状況を確認し、その後は「監視モード」によって新たな漏えい情報を継続的に把握することができます。
【MIERUPASSの調査対象】
- インターネット
- ダークウェブ
- ハッカーフォーラム
- サイバー攻撃組織が公開する情報
- その他の漏えい情報 など
一般的なメールアドレス確認サービスは、個人が自分のメールアドレスについて確認する際に便利です。
一方、企業の場合は、
- 従業員のアカウント情報が漏えいしていないか
- 自社ドメインに関連する情報が漏えいしていないか
- 漏えいした情報が不正アクセスなどに悪用される可能性がないか
- 新たな漏えいが発生していないか
といった観点から確認することも重要です。
そのため、単発の調査だけではなく、継続的な監視まで含めて情報漏えい対策を検討するとよいでしょう。
■アイエスエフネットでは、メールアドレスやパスワードなどの情報が、サイバー空間上に漏えいしていないか？を調査するサービスを提供しています。
＞情報漏えい調査サービス「MIERUPASS（ミエルパス）」の詳細はこちら
もしメールアドレスや個人情報が流出していたら
ツールを利用してメールアドレスなどの流出が確認された場合、早めの対応が必要です。
「メールアドレスが漏えいしている！」
と聞くと不安になるかもしれません。
ただし、メールアドレスが過去のデータ侵害に含まれていたからといって、それだけで現在アカウントが乗っ取られているとは限りません。
まずは、どのサービスから、いつ、どのような情報が流出したのかを確認しましょう。
とくにパスワードまで流出している場合は、不正ログインに利用される可能性があるため注意が必要です。
ここでは、情報が流出した本人と、情報システム部門がとるべき対応をご紹介します。
STEP1：流出している情報を確認する
まずは、何が流出しているのかを確認します。
メールアドレスだけなのか、それともパスワードや氏名、電話番号なども含まれているのかによって必要な対応が変わります。
過去に利用していたサービスのデータ侵害であっても、現在使用しているパスワードと同じものを利用していた場合は注意が必要です。
STEP2：パスワードを変更する
＜本人＞
パスワードが流出している、または流出した可能性がある場合は、対象となるWebサービスのパスワードを速やかに変更します。
また、複数のWebサービスで同じパスワードを使っている場合は、それらのパスワードについても変更しましょう。
一つのサービスからメールアドレスとパスワードが流出すると、その組み合わせを使って別のサービスへのログインを試みる「パスワードリスト攻撃」に悪用される可能性があります。
そのため、パスワードはサービスごとに異なるものを設定することが重要です。
＜情報システム部門＞
業務で利用しているアカウント情報の漏えいが確認された場合は、対象となるパスワードの変更を行います。
さらに、同じパスワードが別のシステムでも使用されていないか確認し、使い回しがあった場合は、それらについても変更する必要があります。
IPAでは、不正ログイン対策として、パスワードを「できるだけ長く」「複雑で」「使い回さない」ものにすることを推奨しています。*4
従来のように「英数字8桁以上」といった単純な基準だけではなく、推測されにくいパスワードを設定し、サービス間で使い回さないことが重要です。
また、多数のアプリケーションを業務で利用しており、従業員がパスワードを管理することが難しい場合は、パスワードマネージャーなどを用いた運用も検討するとよいでしょう。
*4 出典：独立行政法人情報処理推進機構（IPA）「不正ログイン対策特集ページ」
STEP3：多要素認証やパスキーを設定する
パスワードの変更とあわせて行っておきたいのが、多要素認証（MFA）の設定です。
多要素認証とは、パスワードなどの「記憶情報」だけでなく、スマートフォンなどの「所持情報」、指紋や顔などの「生体情報」といった複数の要素を利用して本人確認を行う仕組みです。
仮にIDとパスワードが第三者に知られてしまった場合でも、それだけではログインできないようにすることで、不正ログインのリスクを抑えることができます。
また、利用しているサービスが対応している場合は、パスキーの利用も検討するとよいでしょう。
IPAも、不正ログイン対策として多要素認証やパスキーの利用を推奨しています。*5
情報システム部門としては、従業員個人の判断に任せるだけではなく、業務で利用しているサービスで多要素認証やパスキーを利用できるか確認し、可能な場合は組織全体で導入を進めることが重要です。
*5 出典：独立行政法人情報処理推進機構（IPA）「インターネットサービスへの不正ログインによる被害が増加中－パスキー認証や多要素認証の設定を行いましょう－」
STEP4：ログイン履歴を確認する
＜本人もしくは情報システム部門＞
Webサービスによっては、ログイン履歴や最近のセキュリティアクティビティを確認できる場合があります。
身に覚えのない端末や地域などからログインされていないかを確認しましょう。
たとえばGoogleアカウントでは、「最近のセキュリティ関連のアクティビティ」などから、不審なアクセスがなかったか確認することができます。
自身のものではないログイン履歴が確認された場合は、第三者によって不正ログインされた可能性があります。
その場合はパスワードを変更するとともに、必要に応じてログイン中のセッションを終了したり、不明な端末をアカウントから削除したりする対応も行いましょう。
また、メールアカウントの場合は、不審なメール転送設定やフィルタなどが追加されていないかについても確認しておくとよいでしょう。
STEP5：個人情報流出に関する実態調査
＜情報システム部門＞
業務で使用しているアカウントなどから情報漏えいが確認された場合、「パスワードを変更したから終わり」ではありません。
流出している情報がどういったものなのか、どのような不正利用が行われた可能性があるのかについて調査を行う必要があります。
調査するべき項目として、たとえば以下が挙げられます。
- 不正ログインの有無
- 情報漏えいの有無と範囲
- マルウェアなどへの感染の有無
- ほかのシステムやアカウントへの影響
- 同じ認証情報を使用しているサービスの有無
こうした調査をすべて社内だけで完結させることが難しい場合は、専門のセキュリティ会社や調査会社への相談も検討する必要があります。
また、個人データの漏えい等が発生した場合、その内容によっては個人情報保護委員会への報告や本人への通知が必要となる場合があります。*6
そのため、情報システム部門だけで判断するのではなく、個人情報保護担当者や法務部門などとも連携して対応することが重要です。
調査や各種対応が終わった後も、再発防止に向けた取り決めや、社内のセキュリティポリシーの見直しなどを行う必要があります。
情報セキュリティ委員会などの体制を社内で整え、こうした有事に備えておくこともひとつの手段となるでしょう。
*6 出典：個人情報保護委員会「漏えい等の対応とお役立ち資料」
＜本人＞
個人で利用しているWebサービスの場合は、クレジットカードや銀行口座などの不正利用が発生していないかについても確認しましょう。
もし身に覚えのない利用が確認された場合は、クレジットカード会社や金融機関、Webサイトの運営者などに連絡し、クレジットカードやアカウントの利用停止など、必要な対応を行います。
どのようにして情報が収集されてしまうのか
OSINTでは、WebサイトやSNS、公開資料など、インターネット上で確認できるさまざまな情報が調査対象となります。
OSINTの手法やターゲットとなる情報について知ることで、自社のどのような情報が攻撃者に利用される可能性があるのかを理解しましょう。
OSINTの情報収集手法
インターネット上には、企業のドメイン情報などをもとに、関連する情報を調査できるOSINTツールが多数公開されています。
OSINTによって得られたメールアドレスや従業員情報などが、サイバー攻撃に利用されることがあります。
たとえば、企業の公式HPに問い合わせ窓口として「△△△＠aaa.com」とメールアドレスを掲載していたとします。
このメールアドレスから「aaa.com」という企業ドメインを把握することができます。
さらに、企業サイトやSNS、公開資料などの情報を組み合わせることで、従業員名や役職、メールアドレスの形式などが推測される可能性があります。
注目すべきポイントは、OSINTによる情報収集では、必ずしも企業のサーバーへ不正アクセスする必要がないという点です。
検索エンジンや企業サイト、SNSなど、一般に公開されている情報だけでもさまざまな情報を収集することができます。
一つひとつでは大きな問題にならない情報でも、複数の情報を組み合わせることで、標的型攻撃メールなどを作成するための材料となる可能性があります。
ターゲットとなる情報
OSINTによる情報収集の対象となりやすいものとして、以下のような情報があります。
・Webページのドメイン名 ・企業の公式サイトや案内パンフレット ・Web上に公開されているPDFファイル ・従業員の氏名や役職 ・公開されているメールアドレス |
たとえば、SNSに勤務先と所属部署を掲載しており、企業サイトに従業員名やメールアドレスの形式が掲載されていた場合、それぞれの情報を組み合わせることで、メールアドレスが推測される可能性があります。
このように、さまざまな情報がターゲットとなるため、必要以上の情報を公開しないよう、社内の情報管理を行うことが重要です。
個人情報が流出していなくても安心できない
ツールによって個人情報が流出していないことを確認できたとしても、今後も被害にあわないとは限りません。
また、Have I Been PwnedやMozilla Monitorなどで確認できるのは、それぞれのサービスが把握しているデータ侵害です。
まだ発見されていない情報漏えいや、サービス側のデータベースに登録されていない情報が存在する可能性もあります。
そのため「検索したら何も出てこなかったから大丈夫」と考えるのではなく、普段から対策を心掛ける必要があります。
定期的なアップデートを実施する
WindowsやmacOSなどのOSや、利用しているアプリケーションを定期的にアップデートしましょう。
ソフトウェアには脆弱性が発見されることがあり、開発元からセキュリティ更新プログラムが提供されます。
古いバージョンを使い続けると、すでに知られている脆弱性を悪用したサイバー攻撃を受ける可能性があります。
そのため、OSやソフトウェアは可能な限り最新の状態に保つことが重要です。
情報システム部門としては、全従業員の端末を適切にアップデートできる仕組みを整え、その状況を管理していく必要があります。
パスワードを使い回さない
パスワードは、複数のWebサービスで使い回さないようにしましょう。
一つのWebサービスからメールアドレスとパスワードが流出すると、その情報を利用して別のサービスへのログインを試みられる可能性があります。
情報システム部門としても、「8桁以上」など単純な文字数だけを基準にするのではなく、できるだけ長く推測されにくいパスワードを利用し、サービス間で使い回さないよう社内に周知することが大切です。
さらに、多要素認証やパスキーなどを活用し、パスワードだけに依存しない認証方法についても導入を検討しましょう。*4 *5
企業としての対策方法
OSINTによって、企業の機密情報や従業員に関するさまざまな情報が収集され、サイバー攻撃に利用される可能性があります。
企業としてできる対策をご紹介します。
Webに掲載するPDFのプロパティに個人情報が載っていないか確認する
Microsoft Officeなどで作成した文書をPDFとして保存した場合、ファイルのプロパティやメタデータに作成者名などの情報が含まれることがあります。
そのままWeb上に掲載すると、本来公開する予定ではなかった従業員名などが外部から確認できてしまう可能性があります。
公開前にPDFファイルのプロパティなどを確認し、不要な個人情報が残っていないか確認しましょう。
必要に応じて、個人名を削除したり、会社名や部署名など公開可能な情報に変更したりするとよいでしょう。
社員向けSNSガイドラインを策定
SNSはOSINTによる情報収集の対象になりやすいため、広報用に運用している公式アカウントはもちろん、従業員の個人アカウントにおいてもセキュリティ対策が重要です。
とくに従業員が個人のSNSに投稿することによって、企業や業務に関する情報が意図せず外部へ公開されてしまう可能性があります。
たとえば、
- 社内の写真
- パソコンの画面
- 社員証
- ホワイトボード
- 業務スケジュール
- 取引先に関する情報
などが写真に映り込んでしまうこともあります。
「業務上知り得た情報を個人アカウントに投稿しない」といった基本的なルールだけでなく、写真への映り込みなども含めたSNSガイドラインを策定し、従業員への啓発を行うことが重要です。
多要素認証などで認証を強化する
業務上、企業の代表メールアドレスや従業員のメールアドレスを公開しなければならない場合もあります。
そのため、「メールアドレスを知られないようにする」だけでは十分な対策とはいえません。
メールアドレスを知られても簡単にはアカウントを乗っ取られない仕組みを整えることが重要です。
パスワードを使い回さないことに加えて、多要素認証やパスキーなどを活用し、認証を強化しましょう。
自社に関する情報を定期的に調査する
WebサイトやSNS、公開資料などについて、自社がどのような情報を外部に公開しているのか定期的に確認しましょう。
さらに、過去の情報漏えいやダークウェブなどに、自社のメールアドレスやアカウント情報が含まれていないかを調査する方法もあります。
「一度調査して問題がなかったから安心」というものではありません。
新たな情報漏えいが発生する可能性もあるため、定期的・継続的に確認することで、漏えいを早期に把握できる可能性があります。
セキュリティ製品・サービスの導入を検討する
サイバー攻撃による情報流出を防ぐためには、従業員への注意喚起だけではなく、技術的な対策も必要です。
メールセキュリティ、EDR、認証基盤、情報漏えい監視など、企業の環境やリスクに応じて必要なセキュリティ製品・サービスの導入を検討しましょう。
当然コストはかかりますが、「製品を導入すれば安全」というわけでもありません。
自社のリスクや現在のセキュリティ対策を把握したうえで、必要な対策を選択し、適切に運用することが重要です。
まとめ｜OSINTを活用して自社の情報を確認しよう
今回は、OSINTを活用した情報漏えいの確認やセキュリティ対策について解説しました。
OSINTは、一般公開されているさまざまな情報を収集・分析する手法です。
攻撃者が企業や従業員の情報を収集するために利用することもありますが、逆に企業側が「自社の情報が外部からどこまで確認できるのか」を調査するためにも活用できます。
自分のメールアドレスについて確認したい場合は、Have I Been PwnedやMozilla Monitorなどを利用することで、既知のデータ侵害に含まれていないか確認できます。
ただし、ツールによって情報漏えいが確認されなかったからといって、絶対に安全というわけではありません。
パスワードを使い回さない、多要素認証やパスキーを利用する、OSやソフトウェアを最新の状態に保つなど、日頃からアカウントを保護するための対策を行うことが重要です。
企業の場合は、個々の従業員による対策だけではなく、自社ドメインや従業員のアカウント情報などが外部に漏えいしていないか、継続的に確認できる体制を整えることも必要です。
調査の結果、情報漏えいがあった場合でも、なかった場合でも、社内のセキュリティ基準を見直す良いきっかけとなります。
もし社内のセキュリティ基準が十分ではないと思われる場合は、セキュリティポリシーの見直しや組織体制の整備、従業員への啓発活動などを行っていく必要があります。
しかし、時間の面でもコストの面でも、それらを同時並行で行うことが難しい企業もあるでしょう。
まずはOSINTや情報漏えい調査サービスを活用し、自社の情報が外部に漏えいしていないかを確認するところからはじめてみるのもよいのではないでしょうか。
情報漏えい調査サービス MIERUPASS（ミエルパス）
アイエスエフネットが提供するMIERUPASS（ミエルパス）は、企業の情報漏えい状況を調査・監視するサービスです。
組織のドメインに関連するIDやパスワードなどがダークウェブ等に漏えいしていないかを調査し、現在の情報漏えい状況を可視化します。
はじめに「調査」を行い、その後は「監視モード」によって新たな漏えい情報を継続的に把握することができます。
「自社のメールアドレスやアカウント情報が漏えいしていないか確認したい」
「情報漏えいが見つかったものの、どのような対策をすればよいかわからない」
「現在のセキュリティ対策をどこから見直せばよいかわからない」
このような場合は、まず現在の情報漏えい状況を把握することからはじめてみてはいかがでしょうか。
また、調査結果をもとに、お客様がとるべきセキュリティ対策についても一緒に検討します。
必要に応じて、セキュリティサービスの選定から導入、その後の運用まで、アイエスエフネットのセキュリティエンジニアが支援いたします。
セキュリティ事故の内容から情報漏えいの傾向を把握し、迅速に対策を行うことで、さらなる被害の拡大を防ぐことが大切です。
まずは、自社の情報が漏えいしていないか、調査からはじめてみませんか？
■アイエスエフネットでは、メールアドレスやパスワードなどの情報が、サイバー空間上に漏えいしていないか？を調査するサービスを提供しています。
情報漏えい調査サービス「MIERUPASS（ミエルパス）」の資料ダウンロードはこちら
＼アイエスエフネットのセキュリティソリューション「MIERUシリーズ」／
※この記事は、更新時点の情報をもとに作成しています。
