不法エコシステムを解説：ダークウェブフォーラムでサイバー犯罪が組織化

「不法エコシステムを解説」シリーズの第3弾として、本稿ではダークウェブフォーラムの運営実態を分析するとともに、Flashpoint独自の階層分類システムを解説します。また、各分野に特化したハイブリッドプラットフォームが相互に連携し、サイバー犯罪のサプライチェーンを形成する仕組みについても検証します。

大規模なデータ侵害が注目を集める際、ダークウェブはあらゆる不法なサービスやツールが売買される単一の集中型マーケットプレイスとみなされがちです。確かに、多くの不法フォーラムが「ワンストップショップ」としての地位を確立しようと手を尽くしていますが、このアンダーグラウンドエコノミーは実際のところ、サイバー犯罪のライフサイクルの各段階に対応した専門的なハブが結び付いたネットワークによって成り立っています。

サイバー犯罪が横行する実態を理解するには、こうしたオンライン空間がいかにして存続し、新米の脅威アクターを熟練の攻撃者へ成長させる上でどのような役割を果たしているのかを知ることが欠かせません。

*本記事は、弊社マキナレコードが提携する米Flashpoint社のブログ記事（2026年7月13日付）を翻訳したものです。

サイバー犯罪エコシステムの構造：フォーラムの参入障壁と階層構造

不法コミュニティの存続は、結局のところ、支持者によって形成される運営上の価値観と文化にかかっていると言ってもおかしくありません。このようなデジタル空間はサイバー犯罪者、潜入中の法執行機関関係者、セキュリティ研究者が入り混じる「信頼度の低い」環境であるため、本質的に自衛が重視されます。各フォーラムでは競合者による攻撃、監視、最終的なテイクダウンからコミュニティを守るため、厳格なゲートキーピング（参入制限）の仕組みが導入されています。

こうした状況を踏まえ、Flashpointではサイバー犯罪エコシステムを階層構造として整理し、以下の要素を基に各フォーラムを下位・中位・上位に分類しています。

• 参入障壁：ユーザーがコミュニティ参加時に求められる金銭または評判（レピュテーション）の要件、すなわち当該フォーラムの排他性
• 技術的専門性：当該フォーラムのメンバーが有する技術的スキルや能力の総体
• 商品やサービスの品質：高度なハッキングツールや価値の高いデータリークなど、取引される不法な商品やサービスの品質と価値
• 運用セキュリティ（OPSEC）：当該コミュニティが遵守している厳格なセキュリティプロトコルや慣行の範囲・程度

これらの要素を分析することで、このエコシステムは自ずと3つの明確な運用階層に分類できます。

下位フォーラム

こうしたコミュニティはアクセスが容易で、登録料は少額あるいは完全無料の場合が多く、厳格な審査もほとんど行われません。技術スキルの低いユーザーや初心者のハッカー、無料の情報を求める小規模なデータブローカーなどが集まっています。技術的な参入障壁が低いため、大規模なデータリークや一般的なフィッシングの手順、未検証の盗まれたアカウント、クラック版ソフトウェアなどを含め、主に低コストかつ大量のデータが共有されています。

結果として、こうした環境では詐欺行為や質の悪いデータといったリスクが常に付きまといます。また、下位フォーラムでは無料データの共有だけでなく、ランクやアップグレードを購入して評判を形成する仕組みが採用されており、この序列をユーザー間で確認できるようになっています。

中位フォーラム

Torおよびクリアネットの双方から比較的容易にアクセスできますが、参加するには既存メンバーの推薦、少額の登録料、あるいは保証金が必要になります。これらのプラットフォームでは大規模な不正活動のほか、大量のカード情報や盗まれた認証情報、スティーラーログ、フィッシングキット、ボットネット、各種マルウェアなど、さまざまなデータセットの取引に焦点を合わせています。

ユーザー層はベンダーや経験豊富な脅威アクター、大規模グループのアフィリエイト、トレーニング目的の野心的なサイバー犯罪者など多岐にわたります。内部不正からユーザーを保護するため、これらのフォーラムでは統合型のエスクローサービスや評判システムの利用を非常に重視しており、特に評判はプラットフォーム内の上位ステータスを購入することで強化できます。

上位フォーラム

極めて閉鎖的なプラットフォームで、収益性が高く、高度な技術を必要とする標的型の犯罪活動に特化しています。新規加入希望者は厳格な審査を受ける必要があり、通常は正式な招待や高額な登録料が求められます。こうした閉鎖的なフォーラムには、高度なスキルを持つプロの脅威アクター、マルウェア開発者、主要犯罪組織の意思決定者が集まっています。

このエコシステムでは、攻撃者が有益な技術的貢献やコミュニティでの評価ポイントを通じて信頼を築くとともに、複雑なマネーロンダリング手法の実行、ゼロデイエクスプロイトの売買、ランサムウェア・アズ・ア・サービス（RaaS）の提携促進、初期アクセスブローカー（IAB）による大規模なデータ販売などが行われています。

ダークウェブフォーラムの種類

あるコミュニティの「階層」が確立されると、通常はサイバー犯罪全体のライフサイクルにおいて特定の段階を専門とするハブとして機能するようになります。これによって能力や専門知識が向上し、自然とコミュニティ同士を橋渡しするようになるため、結果としてそれぞれのフォーラムが固有の運営・構造上のニーズを担う「サプライチェーン」が形成されるのです。

一般情報／コミュニティボード

Redditのようなサーフェスウェブのサイトをモデルにしたこれらのプラットフォームは、交流や情報共有の拠点として機能しています。協調・連携、評判の管理、運用上のセキュリティ（OPSEC）に関するベストプラクティスの普及が議論の中心となり、ユーザーはサイバー犯罪者の逮捕関連ニュースの共有、匿名性を維持するためのアドバイスの収集、出口詐欺の疑いがある案件の報告に加え、特定のベンダー、とりわけ違法薬物の販売者に関する詳細なレビューなどを行っています。

金融犯罪／カーディングフォーラム

これらはマーケットプレイスとソーシャルネットワークの要素を併せ持つ半構造化された環境であり、盗まれたカード情報、ダンプ（磁気ストライプデータ）やフルズ（個人情報一式）の販売に特化されたサプライチェーンを活用しています。内部不正を抑制するため、こうしたフォーラムでは評判を構築・管理する仕組みが多用されており、認定販売者ステータスや無効なデータに対する統合型返金システムなどを取り入れています。また、長期間にわたって運営を続けるため、国際的なテイクダウン要請に応じないロシアのような国々の「防弾インフラ」上でホストされています。

データリークフォーラム

盗まれたデータベースが保管され、生の侵害情報が取引可能な商品として構造化されています。流出した情報は被害者の名前と分野ごとにリスト化されているため、攻撃者は認証情報や企業に関するレコードを素早く見つけ、クレデンシャルスタッフィング、恐喝、ID詐欺に再利用できます。

クラッキング／ハッキングチュートリアル（ナレッジベース）

知識の提供・共有と攻撃手法の習得を主な目的とし、脅威アクターたちが手法やチュートリアル、詐欺手口、防御回避技術を共有しているほか、コンテストを通じた教育的交流を推進しています。

高度なエクスプロイト／アクセス販売フォーラム

初期アクセスブローカー、エクスプロイト開発者、マルウェア作成者といったコミュニティの「最上層」が集うプラットフォームです。甚大な影響を及ぼす取引や企業組織への侵入を安全に遂行するため、厳格な仲裁システム、ベンダーへの保証金の義務化、エスクローサービスが不可欠になっています。

参入障壁の低い小売フォーラム

クラックされたサブスクリプションアカウントや有料版ソフトウェア、オンラインゲームのアセットといった大衆向けデジタル商品が取引される、活発な市場セグメントです。特徴としては、参入障壁が極めて低いこと、そして高度で複雑な手法を駆使する能力はないものの、手早く利益を求める比較的若いユーザー層が挙げられます。

Flashpointで不法パイプラインをマッピング

サイバー犯罪エコシステムの結び付きを強めている要因は、こうした多様なフォーラムやコミュニティの境界線が絶えず曖昧になっている点です。ほとんどの不法コミュニティはハイブリッド型かつ流動的な性質を有しており、それぞれのニーズを満たし、収益を上げるために、意図的あるいは必然的にさまざまなカテゴリー間で連携しています。

ハイブリッド型のフォーラムでは、ノウハウを教えるチュートリアルに加え、盗まれたデータやネットワークへのアクセス権を頻繁に組み合わせることで、攻撃者の成長を促す構造的なパイプラインを効果的に構築しています。例えばBreachForumsのようなプラットフォームは、単にリークサイトとして注目を集めるだけでなく、ログやその他の機微データを販売する構造化されたマーケットプレイスとしての機能を融合させています。このようなハイブリッド化によって、攻撃者はチュートリアルを利用する初心者から成長し、盗んだデータを展開するアクティブな犯罪者に進化することができます。

こうした流動的な構造や変化の過程を監視することこそが、脅威アクターの成長のあり方や、相互に関連し合うサイバー犯罪ランドスケープの推移を理解する唯一の方法です。だからこそ、セキュリティチームはサイバー脅威を単発的な事象として捉えないだけでなく、脅威アクターの採用するマルチプラットフォーム戦略を正しく認識する必要があります。これらの脅威アクターのコミュニティの可視性を高め、サイバー犯罪のサプライチェーン全体から組織をプロアクティブに守る方法を確かめるには、Flashpointのデモをお申し込みください。

※日本でのFlashpointに関するお問い合わせは、弊社マキナレコードにて承っております。

また、マキナレコードではFlashpointの運用をお客様に代わって行う「マネージドインテリジェンスサービス（MIS）」も提供しております。

FlashpointやVulnDBについて詳しくは、以下のフォームからお問い合わせください。