インサイダー脅威レポート：ダークウェブ上での募集活動とアクセス売買の傾向

インサイダー脅威に関する募集活動、不法アクセス権の宣伝、企業環境を標的とした脅威アクターの活動に関するFlashpointの月次分析レポートをお届けします。

*本記事は、弊社マキナレコードが提携する米Flashpoint社のブログ記事（2026年8月20日付）を翻訳したものです。

例えば、ある組織で重要な役割を担う人物が、人知れず2つの顔を持って生活しているとします。職場では周囲から信頼を集めるシステム管理者を務めていますが、プライベートではディープウェブまたはダークウェブ上で自らの信用やアクセス権を最高額で入札した者に売り込んでいます。ある日、その人物のもとに次のような単純な依頼が舞い込みます。「午前2時に届くプッシュ通知を1回承認してくれれば、希望する暗号資産で1万5,000ドル相当の報酬を支払う」。その依頼を引き受けると、翌朝までに攻撃者がマルウェアを使うこともファイアウォールを破ることもなく、有効なドメイン管理者の認証情報を持ち去っていました。

これは、インサイダー脅威が今日の企業への侵害につながってしまう1つの例に過ぎません。Flashpointは今年、インサイダー脅威に関する投稿（重複なし）を7,282件発見しており、異なる内容の投稿を1日平均34件確認しています。EDRの適用範囲が広がり、境界セキュリティやその他のセキュリティツールが成熟するにつれ、脅威アクターは「人的要素」を狙って単純に内部関係者の認証情報を購入するか、あるいは従業員に金銭を支払って社内情報にアクセスさせてもらうほうが、より迅速かつ安価に攻撃を行えることに気付き始めています。個人を識別できる情報が主要なアタックサーフェスになりつつある脅威ランドスケープでは、不法マーケットプレイスやインサイダーの募集活動を監視することが非常に重要です。

本月次レポートでは、Flashpointが有するPrimary Source Collection（一次情報コレクション）を活用してインサイダー脅威の手口を分析し、ダークウェブフォーラムや暗号化されたネットワーク上で行われているインサイダーの募集・宣伝活動を追跡していきます。

2026年7月のインサイダー脅威ランドスケープ

2026年7月、Flashpointのアナリストはインサイダーに関する投稿を計1万2,653件発見しました。不法フォーラムや不法マーケットプレイスで観測されたこれらのやり取りの中には、脅威アクターが標的組織の内部関係者を勧誘しようとしているものもあれば、内部関係者が自身のサービスについて宣伝しているものもあります。

Flashpointは今年7月時点で、上記のやり取りのうち内容の異なる投稿を1,132件確認しています。

インサイダー脅威の活動が集中している業界

これまでは電気通信や小売、金融といった業界が、インサイダー脅威による活動の影響を多く受けてきました。しかし今年7月の調査結果は、この傾向から大きく外れています。Flashpointでは、インサイダー脅威に関する投稿全体の58.6％が「その他」の業界に影響を及ぼすものであることを確認しました。これは攻撃者が標的の範囲を多様化させていることを示唆しています。脅威アクターはサプライチェーンのパートナー、物流拠点、製造プラットフォーム、そして専門サービス事業者から内部関係者を勧誘し、標的ネットワークへの新たなエントリポイントを探そうとしているのかもしれません。

以下の表は、2026年7月に観測されたインサイダーに関する投稿（重複なし）の内訳を業界別に示したものです。

インサイダー脅威：「募集」と「宣伝」

インサイダー脅威の活動には2つのパターンがあります。1つは外部の悪意ある者が組織の内部関係者を「募集する」パターン、もう1つは悪意ある内部関係者が自身のアクセス権やスキルに関心を持つ脅威アクターに対し、これを「宣伝」するパターンです。いずれにせよ内部関係者はこのつながりを利用し、価値ある情報の抽出、マルウェアのインストール、ITシステムの破壊、またはSIMスワップを実行することで攻撃者を支援します。Flashpointは今年7月、脅威アクターによる投稿（重複なし）の75％以上が、自身のアクセス権を悪意あるサードパーティに売りつけるインサイダーによって投稿されたものであることを確認しました。この結果から、インサイダー脅威ランドスケープが活況を呈しており、組織に不満を持つ従業員が企業データやネットワークのエントリポイントの買い手を積極的に探している現状が浮かび上がってきます。

Flashpointでインサイダー脅威から身を守る

インサイダー脅威は有効な認証情報や正当なアクセス権限を使って攻撃が行われるため、社内のセキュリティコントロールだけでは検知することが本質的に困難です。また、社内ログのみに依存していると、セキュリティチームはデータの抜き取りやシステムの破壊行為が行われた後に初めてインサイダー脅威に気付きがちです。Flashpointは弊社独自のPrimary Source Collectionと専門特化型のインテリジェンスプラットフォームを通じ、企業や組織をインサイダー脅威から守ります。

• 外部脅威インテリジェンスと早期警告：ディープウェブやダークウェブのフォーラム、招待制の脅威コミュニティ、暗号化されたチャットプラットフォームを監視し、侵入行為が発生する前に従業員への勧誘、盗まれた企業ドメインに関する言及、進行中の募集活動を特定します。

• 個人を識別できる情報の保護とインフォスティーラーの追跡：不法マーケットプレイスやインフォスティーラーの活動を追跡することで、侵害された企業の認証情報やアクティブなセッショントークンを特定し、脅威アクターが購入したアクセスを使用できないようにします。

• ユーザーおよびエンティティの行動コンテキスト：Flashpointのインテリジェンスは、SOCやセキュリティオペレーション、リスク管理チームに攻撃者のTTP（戦術・技術・手順）を提供し、セキュリティ運用担当者が異常なデータのダウンロード、業務時間外のアクセス、または不正なソフトウェアのインストールを検知できるようにします。

お客様をインサイダー脅威のリスクから守るとともに、不法アンダーグラウンドコミュニティを監視する上でFlashpointがどのように役立つのか。今すぐデモをお申し込みいただき、その詳細をお確かめください。

よくある質問（FAQ）

Q. Flashpointのインサイダー脅威レポートとは？

ディープウェブやダークウェブ、暗号化されたチャットのチャンネル上で投稿されるインサイダーの募集活動や不法アクセス権の宣伝について、その傾向、件数、標的となる業界、手口を分析してまとめた月次インテリジェンスです。

Q. Flashpointはどのようにしてインサイダー脅威に関するデータを収集しているのですか？

弊社のPrimary Source Collectionエンジンを使い、脅威アクターと悪意ある内部関係者がやり取りを行う無数のダークウェブフォーラムや不法マーケットプレイス、アンダーグラウンドのチャットネットワークを監視し、データを収集しています。

Q. インサイダーの募集とインサイダーの宣伝の違いは何ですか？

インサイダーの募集とは、外部の脅威アクターが企業の従業員を誘い込み、サイバー攻撃に加担させようとする行為です。一方、インサイダーの宣伝とは、従業員や請負業者が自身の持つ正規のアクセス権またはサービスを自ら不法マーケットプレイスで売り込む行為を指します。

※日本でのFlashpointに関するお問い合わせは、弊社マキナレコードにて承っております。

また、マキナレコードではFlashpointの運用をお客様に代わって行う「マネージドインテリジェンスサービス（MIS）」も提供しております。

FlashpointやVulnDBについて詳しくは、以下のフォームからお問い合わせください。