9月のインサイダー脅威レポート：ダークウェブ上での募集活動とアクセス売買の傾向

インサイダー脅威に関する募集活動、不法アクセス権の宣伝、企業環境を標的とした脅威アクターの活動に関するFlashpointの月次分析レポートをお届けします。

*本記事は、弊社マキナレコードが提携する米Flashpoint社のブログ記事（2026年10月15日付）を翻訳したものです。

例えば、ある組織で重要な役割を担う人物が、人知れず2つの顔を持って生活しているとします。職場では周囲から信頼を集めるシステム管理者を務めていますが、プライベートではディープウェブまたはダークウェブ上で自らの信用やアクセス権を最高額で入札した者に売り込んでいます。ある日、その人物のもとに次のような単純な依頼が舞い込みます。「午前2時に届くプッシュ通知を1回承認してくれれば、希望する暗号資産で1万5,000ドル相当の報酬を支払う」。その依頼を引き受けると、翌朝までに攻撃者がマルウェアを使うこともファイアウォールを破ることもなく、有効なドメイン管理者の認証情報を持ち去っていました。

これは、インサイダー脅威が今日の企業への侵害につながってしまう1つの例に過ぎません。EDRの適用範囲が広がり、境界セキュリティやその他のセキュリティツールが成熟する中、脅威アクターは依然として「人的要素」を狙い、組織のシステムへのアクセスを提供する、あるいは不正行為を手助けするのを厭わない従業員や請負業者を探しています。

個人を識別できる情報が主要なアタックサーフェスになりつつある脅威ランドスケープでは、不法マーケットプレイスやインサイダーの募集活動を監視することが非常に重要です。

本月次レポートでは、Flashpointが有するPrimary Source Collection（一次情報コレクション）を活用してインサイダー脅威の手口を分析し、ダークウェブフォーラムや暗号化されたネットワーク上で行われているインサイダーの募集・宣伝活動を追跡していきます。

2026年9月のインサイダー脅威ランドスケープ

2026年9月、Flashpointのアナリストは延べ1,778人の投稿者が存在する1,216件のチャンネルから、インサイダー関連の投稿を計9,787件特定しました。確認された活動量は以前より減少したものの、脅威アクターはとりわけ不正行為を容易にするために正規職員の権限を悪用できる業界において、引き続き内部関係者のアクセス権を探したり、宣伝したりしていました。これらのやり取りの中には、脅威アクターが標的組織の内部関係者を勧誘しようとしているものや、内部関係者が自身のサービスについて宣伝しているもののほか、インサイダー関連の脅威活動についての一般的な議論などがあります。

Flashpointは今年9月1日〜30日の間に、上記のやり取りのうちそれぞれ内容の異なる投稿を857件確認しています。

こうした投稿の大部分は、英語を使用する中間層のTelegramチャンネルに投稿されています。これらのチャンネルでは、脅威アクターらが複数の業界における組織の内部関係者のアクセス権を要求／宣伝していました。観測された活動の多くは、不正な活動を手助けしてくれる内部関係者を勧誘することに重点を置いたものでした。

インサイダー脅威の活動が集中している業界

今年9月も小売、電気通信、金融サービスの各業界が、依然としてインサイダー脅威関連の活動の主なターゲットとなりました。しかし、観測された活動のうち、具体的な業界と関連付けることができないものもかなりの割合を占めていました。

Flashpointの調査により、インサイダーに関する一意の投稿全件のうち45.7％は「不明」のカテゴリーに分類されることが分かりました。これは標的となった組織や業界を、アナリストが断定できなかったことを意味します。業界を特定できる投稿の中では、小売業が最大の割合を占め、これに電気通信、金融サービス、テクノロジーが続きました。

これら4つの業界を合わせた一意の投稿の数は419件となり、9月中に観測されたインサイダー関連の活動全体のうち約49％を占めます。

小売、電気通信、金融サービスの業界内で活動が集中しているという事実は、不正行為を助長したり、顧客アカウントへのアクセスを提供したり、組織の正当な権限を悪用したりすることができそうな内部関係者に、脅威アクターが関心を抱き続けていることを物語っています。

以下の表は、2026年9月に観測されたインサイダーに関する投稿（重複なし）の内訳を業界別に示したものです。

インサイダー脅威：「募集」と「宣伝」

インサイダー脅威の活動には通常2つのパターンがあります。1つは外部の悪意ある者が組織の内部関係者を「募集」するパターン、もう1つは内部関係者が自身のアクセス権やサービスに関心を持つ脅威アクターに対し、これを「宣伝」するパターンです。ここで取り決められたことによって、攻撃者は機微なデータの抜き取り、マルウェアのインストール、アカウントの侵害、またはSIMスワップのような詐欺的な行為を行うことができるようになります。

Flashpointのアナリストは2026年9月、アンダーグラウンドコミュニティとチャットフォーラムで、インサイダーの募集と宣伝に関する注目すべき投稿を15件発見しました。そのうち9件は脅威アクターが内部関係者を勧誘しようとするもので、残りの6件は内部関係者が自身のサービスについて宣伝しているものでした。

電気通信業界は注目すべき投稿の数が最も多く、募集と宣伝に関する投稿は5件でした。続いて小売、テクノロジー業界はそれぞれ3件ずつ、金融サービスと公共部門は2件ずつ投稿が行われていました。

こうした事例から、脅威アクターは引き続き業界を問わずアクセス権の取得を図っていることが示唆されており、特に不正行為を円滑にする、あるいは組織のシステムへの特権付きアクセスを提供することのできる従業員や請負業者に関心を寄せていることが分かります。

またFlashpointの調査により、複数の議論用スレッドで繰り返しインサイダーの勧誘が行われていることに加え、詳細情報の限られたアクセスやサービスもしばしば売りに出されていることが確認されました。アナリストはこれらの投稿の信ぴょう性を個別に検証することはできていません。

Flashpointでインサイダー脅威から身を守る

インサイダー脅威は有効な認証情報や正当なアクセス権限を使って攻撃が行われるため、社内のセキュリティコントロールだけでは検知することが本質的に困難です。また、社内ログのみに依存していると、セキュリティチームはデータの抜き取りやシステムの破壊行為が行われた後に初めてインサイダー脅威に気付きがちです。Flashpointは弊社独自のPrimary Source Collectionと専門特化型のインテリジェンスプラットフォームを通じ、企業や組織をインサイダー脅威から守ります。

• 外部脅威インテリジェンスと早期警告：ディープウェブやダークウェブのフォーラム、招待制の脅威コミュニティ、暗号化されたチャットプラットフォームを監視し、侵入行為が発生する前に従業員への勧誘、盗まれた企業ドメインに関する言及、進行中の募集活動を特定します。

• 個人を識別できる情報の保護とインフォスティーラーの追跡：不法マーケットプレイスやインフォスティーラーの活動を追跡することで、侵害された企業の認証情報やアクティブなセッショントークンを特定し、脅威アクターが購入したアクセスを使用できないようにします。

• ユーザーおよびエンティティの行動コンテキスト：Flashpointのインテリジェンスは、SOCやセキュリティオペレーション、リスク管理チームに攻撃者のTTP（戦術・技術・手順）を提供し、セキュリティ運用担当者が異常なデータのダウンロード、業務時間外のアクセス、または不正なソフトウェアのインストールを検知できるようにします。

お客様をインサイダー脅威のリスクから守るとともに、不法アンダーグラウンドコミュニティを監視する上でFlashpointがどのように役立つのか。今すぐデモをお申し込みいただき、その詳細をお確かめください。

よくある質問（FAQ）

Q. Flashpointのインサイダー脅威レポートとは？

ディープウェブやダークウェブ、暗号化されたチャットのチャンネル上で投稿されるインサイダーの募集活動や不法アクセス権の宣伝について、その傾向、件数、標的となる業界、手口を分析してまとめた月次インテリジェンスです。

Q. Flashpointはどのようにしてインサイダー脅威に関するデータを収集しているのですか？

弊社のPrimary Source Collectionエンジンを使い、脅威アクターと悪意ある内部関係者がやり取りを行う無数のダークウェブフォーラムや不法マーケットプレイス、アンダーグラウンドのチャットネットワークを監視し、データを収集しています。

Q. インサイダーの募集とインサイダーの宣伝の違いは何ですか？

インサイダーの募集とは、外部の脅威アクターが企業の従業員を誘い込み、サイバー攻撃に加担させようとする行為です。一方、インサイダーの宣伝とは、従業員や請負業者が自身の持つ正規のアクセス権またはサービスを自ら不法マーケットプレイスで売り込む行為を指します。

※日本でのFlashpointに関するお問い合わせは、弊社マキナレコードにて承っております。

また、マキナレコードではFlashpointの運用をお客様に代わって行う「マネージドインテリジェンスサービス（MIS）」も提供しております。

FlashpointやVulnDBについて詳しくは、以下のフォームからお問い合わせください。