サイズは1,196バイトのまま、顔だけ変えて戻ってきた — 3日で古くなった写真の張り紙
10月13日から出発地を変えながら繰り返されてきた『コマンド559個』の侵入が、10月18日夜にまた入ってきました。1時間8分の間に4か所が同じファイル2個を取っていきました。インストールスクリプトは初めて見るアドレスから来ました。機器向け実行ファイルはサイズが前回と同じでしたが、ハッシュは初めて見る値でした。
blog.securityhero.site
昨夜、私たちのサーバーで
ハニーポットが捉えた本物の攻撃。毎朝。
- セッション
- 3,846
- ユニークIP
- 221
- 実行されたコマンド
- 10,468
- ログイン試行
- 3,234
観測日 2026-10-18 · 昨日の観測
最新の記事
家族の合言葉を聞いてくる人は家族ではない — 仮想通貨なりすましSMS
仮想通貨取引所やウォレット会社を装ったSMSが「資産保護」を口実にリンクを押させます。リンクをたどると、ウォレットの復元フレーズを入力させる画面が出てきます。KISAが10月16日に出した注意喚告とAhnLab ASECの事例をもとに、今すぐやるべきことから整理しました。
一週間遅れで来た「追加データ」 — 受け取る機器はルーターだった
10月8日には小さなインストールスクリプトだけを配信していたアドレスが、10月15日には実行ファイル3種類を44回配信しました。3ファイルとも、私たちが使うパソコンではなくルーターのような小型機器のチップに合わせたものと見られます。同じ日の画面共有(VNC)接触は8万4,222回で、2日前に記録した最大値を再び超えました。
ショートドラマアプリが銀行アプリを消し、同じ見た目の偽物をインストールした
ショートドラマアプリで「アップデート」を押しただけなのに、数日後には銀行アプリが見た目だけ同じ改造版に入れ替わっています。セキュリティ企業ThreatFabricが公開したAndroidマルウェアHirudoを整理しました。なぜ通用するのか、今何を確認すればいいのかを書きました。
点検表559行を五回 — 二人は並んで読んだ
10月13日、Telnetで入ってきた三つの送信元が同じコマンド559個を五回繰り返しました。毎回ファイル22個を受け取って1分半のうちに出ていき、午後4時50分には二か所が0.9秒差で入ってきて同じ作業を並んで行いました。インストール手順書を配っていたアドレスは、同じアドレス帯から四番目に現れた場所です。
半額のコイン財布、リカバリーワードの下にカーボン紙が敷かれていた
定価の半額近くで売られたLedgerのハードウェアウォレットの中から、メーカーが製造していないチップが見つかったと報じられました。研究者らの分析によると、このチップは初期設定時に表示されるリカバリーワード24個を外部へ送信していました。機器をどこで買ったかがなぜそのままセキュリティになるのか、今何をすればいいのかを整理しました。
錠を4回ずつ触っていっただけの255か所、46日ぶりに戻ってきた合鍵
10月11日、リモートデスクトップの扉(3389)に手をかけた場所は255か所で、記録を始めて以降の1日あたり最多でした。ところが1か所あたりの接触は4.15回で最も少なかったのです。同じ日、別のサーバーには46日前と同じ道具で入り込み、1分以内に鍵の植え込み・予約タスク・痕跡削除を一気に試みたセッションが再び記録されました。
初期化しても残る — 半額「ウルトラ」スマホの裏地に縫い込まれたアプリ
サムスンやアップルの名前を掲げた超低価格Androidスマホの一部には、工場出荷時点から悪性アプリが入っていました。システム内部にあるため削除も難しく、初期化でも消えません。Bitdefenderの報告書をもとに、誰が該当するのか、今何をすればいいのかを整理しました。
9.5秒の録音電話が1分40秒のあいだに四回かかってきた
10月8日の夕方、同じ送信元がTelnetで当社のサーバーに四回ログインしました。四回すべてコマンド9個を9.5〜9.7秒で終え、毎回1,670バイトのインストールスクリプトを受け取っていきました。このファイルは一日に15回ダウンロードされ、15回すべて受け取っていったのはこの送信元ひとつだけでした。
雑居ビルの中に構えた「Googleの窓口」— アドレスバーまで描き込んだログイン画面
「Googleでログイン」を押したら、アドレスまで本物のGoogleの画面が出てきました。しかしその画面は、フィッシングページが画面の中に描き込んだ偽物でした。裏では人間がパスワードと認証コードをリアルタイムで受け取っていました。セキュリティ企業Islandのレポートをもとに、本物の画面と偽物の画面を分ける一点を整理しました。
五回やって来て差し込んだプラグ、サーバーのコンセントの形ではなかった
10月6日の午前、同じ送信元が8分37秒のあいだに私たちのSSHサーバーへ五回ログインしました。入るたびにコマンドは二行で、外から受け取ったファイルは全部で24件でした。その実行ファイルはサーバー用ではなくARM 32ビット機器用で、接続指紋・配布元・ハッシュはすべて初めて見る値でした。
書き留めなかった番号3,026個 — 残りはすべて見たことのあるものだった
10月4日、ハニーポット2台に残されたファイル9種はすべて以前に見たハッシュでした。42日前と32秒・コマンド48個・ファイル12個まで同じ接続も再び記録されました。記録を破った数字は一つです。誰かの本物のアカウントかもしれないため値を書き留めなかったパスワードの組み合わせが3,026種で、これまでで最も多い数でした。
まだ開いていないiPhone Duo予約、先に現れたページの正体
Appleの正式な事前予約は10月16日に開きます。それより先に「500ドルクーポン」を掲げた偽の予約ページが発見されました。アップデートを後回しにしたiPhoneは、このページを開くだけで攻撃が始まるという分析です。
宅配便の数はそのまま、送り状の様式だけが一日でひっくり返った
10月1日の画面共有(VNC)接続試行は4万3,402回で、平常の範囲内でした。ところが接続時に提示されたバージョン表記は、21日間一度も過半数にならなかった新しい表記が63.2%を占めました。同じ日、別のサーバーには初めて見るアドレスから、名前からして「backdoor.sh」というファイルが降ってきました。
新韓銀行の融資情報流出、自分の所得を知っている電話ほどかけ直す
新韓銀行で融資を検討した約2万5千人の名前・電話番号・年収・融資限度額が流出したと報じられました。相手が自分の情報を正確に知っているからといって、銀行員である証拠にはなりません。今すぐやるべきこと二つと、まだ分かっていないことを整理しました。
AIが覚えた偽の過去問、カスタマーサポートの番号が詐欺師につながった
ChatGPT・Gemini・Google の AI による概要が、偽のカスタマーサポート番号を本物のように教えてしまう手口が公開されました。研究者は名前を悪用された企業を少なくとも374社、偽の連絡先ページを数万件見つけました。AI がどうやって騙されたのか、電話をかける前に何を確認すればいいのかをまとめました。
同じ保冷バッグ、惣菜九つの容器はすべて中身を入れ替えてあった
9月27日、五日前に記録しておいたマルウェア配布アドレスが再びファイルを送り出しました。先頭のインストールスクリプトは8月21日から37日目、1ビットも変わっていません。後に続いた実行ファイル九つはすべて初めて見るファイルで、うち三つはサイズがバイト単位まで同じなのに中身だけが違っていました。
財布をなくした日のように — ルックピン流出後に取り直す番号
メンズファッションアプリ「ルックピン」の運営会社レベル13がハッキングを認めました。最初に知らせたメール・電話番号のほかにも、住所、返金口座、注文履歴、海外通販の通関番号まで流出したことが確認されました。変えられない情報と、取り直せる番号を分けて、今日やるべきことを整理しました。
ケーブル6本、ポーチは1か月前のままだった
9月22日、8月21日に初めて記録しておいたマルウェア配布アドレスから再びファイルが降ってきました。先頭のインストールスクリプトは1か月前と一字も違わなかったのに、CPU種別ごとの実行ファイル6個はすべて初めて見るファイルでした。そのうち5個の名前は、私たちが以前に圧縮を解いて初めて知った名前とまったく同じでした。
同じカード一枚、一日に41か所 — 帳簿四冊は互いを知らない
9月20日、8月16日から毎日見えていた389バイトの公開鍵ひとつが、互いに異なる41か所から私たちのサーバーに登録されました。私たちが比べた日のうち最多だった17か所の2.4倍ですが、同じ日に一緒に跳ね上がった三つの数字とこれを一本の線でつないでくれる記録はありません。その隣では、三日前に「作り直されていない」と書いた実行ファイルが1,696バイト大きくなって同じアドレスに戻ってきました。
空欄が埋められた詐欺の台本 — 数学塾の情報流出の後にかかってくる電話
大峙洞（テチドン）をはじめ全国に支店を持つ数学塾「センガクハヌンファンソ（考える牛）」の試験予約サイトが侵入され、生徒の名前・学校・学年・生年月日と保護者の電話番号が流出した可能性があると報じられました。その情報を手にした人物が「お子さんがけがをした」と電話してきたとき何をすべきか、そしてまだ確認されていないことは何かを整理しました。
同じ棟、三軒目の家 — 今回の箱には管理室のステッカーが貼られていた
9月17日、8月に二度ファイルを配っていたアドレスと先頭3つの数字が同じ、三つ目のアドレスが現れました。そこから来たファイル7個はすべて27日分の記録になかったもので、5個はLinuxが自ら動かすプログラム名に似たラベルを付けていました。ところがこの7個を持ってきた侵入は、その日記録が残ったセッション5件のどこにもありませんでした。
インストールファイルの代わりに『貼り付けてください』が出たら、その画面が詐欺です
認証バッジ付きの公式アカウントの広告を押したのに、インストールファイルの代わりにコマンドを貼り付けろという画面が出ました。貼り付ける手は自分の手ですが、出ていくのは自分のパスワード・メモ・仮想通貨ウォレットです。二日間で108件が投稿されたこの手口を、学校のロッカー一つで解きほぐします。
7秒が二度 — 名札の前半はまた同じだった
9月15日の昼12時7分、テルネットで入ってきた侵入が7秒間に命令7個でファイル2個を持ち去りました。ファイルを取り出してきた住所と入ってきた住所は前の二桁が同じで、この形は9月7日・8日に続いて九日間で三度目です。そして6時間59分後、同じ所から同じことがもう一度ありました。
まだ発売もされていないゲームを設置してくれるという設置業者 — GTA 6
発売前のゲームの『流出版』と称して、100GBを超えるファイルが検索結果やコミュニティ、トレントに出回っています。インストールを押すとエラーが出て終わるように見えますが、その裏で遠隔操作・パスワード窃取・ファイル破壊プログラムが一度にインストールされます。ダウンロードする前に、そしてすでに実行してしまった場合に何をすべきかをまとめました。
三日で再びあふれた郵便受け — 差出元も、名前も見覚えがあった
9月13日、リモートデスクトップのポートに届いた接触が1日42,578件となり、三日前の最高値34,811件を再び上回りました。最も多く送ってきたのはあの時と同じ別名で、三日前に16件まで減っていた名札「hello」は7,039件になりました。隣のサーバーが受け取ったファイル4種は、すべて以前に見たハッシュでした。
「お母さんに頼まれた」という大人 — カンナムオンニ流出のあとに来る電話
美容医療アプリ「カンナムオンニ」の利用者21万9千人余りの情報が流出したと報道されました。名前と電話番号だけでなく、どの病院でどんな施術を相談したか、相談写真まで含まれています。その情報を手にした人が病院を装って電話をかけてきたとき、何をすべきかをまとめました。
叩いた先は109か所のまま、ベルだけ24倍鳴った
9月10日、リモートデスクトップのポートを叩いた記録が1日で34,811件でした。8月26日から9月8日までの14日分をすべて足した21,483件の1.62倍ですが、叩いてきた先は109か所で普段の範囲内でした。訪ねてきた先が増えたのではなく、1か所が319回ずつ押した日の記録です。
廊下にもう一つ増えたロッカー — 偽ショッピングサイト11万9千件
広告で見かけた割引ショッピングサイトが、本物のブランドから写真も説明もカスタマーセンターの番号もそのまま持ってきていたという調査が出ました。確認されたアドレスだけで11万9千件あまり、名前を盗用されたブランドが4万4千社です。決済画面にカード番号を入力する前に何を見るべきかを整理しました。
実行ファイル9セット、コマンドは3行 — 33秒のものが2回
9月8日、23日分の記録になかったアドレス一つが、CPUの種類だけが違う実行ファイル9個を一度に送り込みました。それを受け取っていった侵入はコマンドをちょうど3行だけ打ち、33.25秒で終わりました。そして1分12秒後、33.26秒のものがもう一度入ってきました。
FBI警告 — パスワードは渡っていないのにメールボックスが開かれる
リンクを押したら本物のGoogleログイン画面が表示され、ログインした後に出てきた青い「許可」ボタンを一度押しました。FBI IC3が9月1日に警告した手口です。パスワードは攻撃者に渡らないのに、メールとファイルは漏れ続けます。
同じファイルを二組 — 内側のラベルは剥がしていなかった
9月7日、22日分の記録に一度もなかったアドレスが初めて現れました。そこから降りてきた実行ファイル二つは、サイズもほぼ同じで役割も同じなのに、数字を読む順序だけを逆にした二組でした。作った側はファイル内側のラベルを消さないまま送り出していました。
264カ所が一度ずつかすめた — 扉の前が薄くなった日
9月6日、画面共有の扉を叩いた場所が一日で100カ所から264カ所になりました。ところが叩いた回数は1.4倍増えただけで、一カ所あたりの回数はむしろ半分になりました。強く叩く少数の上に、薄くかすめる多数が重なった日の記録です。
ノートだと思っていたらホワイトボードだった — 50が35に減った日
9月5日、私たちのサーバーに入ってきたファイル6個のうち5個は、すでに20日目になる見慣れた名前でした。ところが記録を突き合わせているうちに、こちら側の数字が間違っていることを見つけました。「これまで50か所」と書いておいた欄が昨日は35か所で、それは攻撃が減ったからではありませんでした。
同じ足跡が233個 — 荷物を置いていったのは2か所だけだった
9月4日、私たちのサーバーを訪れた419か所のうち233か所が、まったく同じ接続プログラムの標識ひとつを付けてやって来ました。ところがその233か所はファイルを一つも置いていかず、この日実際に検体を届けた標識はIP 2か所だけのものが一つだけでした。最も多く刻まれた足跡と、荷物を置いていった足跡が互いに違った日の記録です。
服は毎回新しく買っていたのに、歩き方は六日目も同じだった
9月3日、五日前にブロックリストへ書き留めておいたファイル四つがそのまま再び入ってきました。ところが指紋を取ってみると三つはアーカイブ18日分に一度もなかった新しいファイルで、たった一つだけが六日目も1ビットたりとも変わっていない同じファイルでした。服を着替えても変わらないものが何なのか、その日のデータが四行で見せてくれました。
初めて見た物はたった一つ — 正門から来たのではなかった
9月2日、私たちのサーバーのドアノブは1日で44,140回回されました。ところが実際に中へ入ってきた「初めて見る物」は一つだけで、それは1日23回しか開かない通路から入ってきました。残りはすべて17日目・18日目の同じ再放送でした。
コマンドは18.5倍 — 意味が付いたのは33個に1つだった
9月1日、私たちのサーバーに入ってきたコマンドが一日で760個から14,085個になりました。ところがそのうち意図が分類されたものは422個(3.0%)だけで、実際に他人の鍵を掛けていった行為は13回でした。数字が大きくなったことと危険になったことは同じ言葉ではないので、この日は大きくなった数字の正体を分けて書きました。
昨日は107か所だったものが今日は8か所 — 四つの数字が揃って下がった
8月31日、昨日107か所・107か所・106か所・116回だった四つの数字が揃って8になりました。一緒に上がって一緒に下がったということは、それらが一つの塊だったという見方を強く示唆しますが、データが四つを結びつけてくれたことは依然としてありません。代わりに扉を叩いた発信元は324か所で16日間のうち4番目に多く、1か所あたりのセッションは2.40回で最低でした。
107か所がそれぞれちょうど一度ずつ — 誰も二度は触らなかった
8月30日、異なる発信元107か所が同じIDと同じパスワード一つを持ってやって来ました。ところが一か所が叩いた回数は平均1.05回でした。昨日は九か所だったものが一日で107か所になり、同じ389バイトの鍵ファイルも同じ107か所から出てきました。
新しいものは何一つなかった — 14日目、同じファイルが九か所から
8月29日、私たちのハニーポットには初めて見るものが一つもありませんでした。389バイトの同じファイルが14日目、この日は互いに異なる九か所から出てきて、配布元二か所もそのままでした。「何も起きなかった」と「毎日同じことが起きていた」は違う言葉なので、この日は変わらなかったということ自体を書きました。
箱が四つ届いたのに、送り状に差出人がなかった
8月28日、二日間何も捕まらなかったサーバーからファイルが四つ一度に出てきました。合計773,937バイト、送り元はすべて同じ一箇所でした。ところがこのファイルには『どこから来たのか』を書く欄がそもそも存在せず、ブロックリストに載せるアドレスも通報すべき配布元も残りませんでした。
訪れた場所は最多、やったことは6分の1 — 増えたのはただ一つ
8月27日、私たちのサーバーに入力されたコマンドは2,313個で、一日で6分の1になりました。ところが訪れてきた送信元は442か所で3日連続の最多を更新し、同じく最多を記録した行動はただ一つ「他人の公開鍵を仕込むこと」でした。389バイトの同じファイルが12日目、この日は互いに異なる26か所から出てきました。
一晩中鳴っていた側は手ぶら、12秒だけ留まった側が10個を置いていった
8月26日、私たちのサーバー2台が受けた接触は4万2千件と5千件でした。最もうるさかった側はファイルを1個も残さず、12.5秒留まったセッション1つが10個を置いていきました。音の大きさで危険を測ると順序がひっくり返るということを、この日のデータが二度示してくれました。
パスポートは一つ、スタンプは複数 — レポート一つで複数の規制に対応する
EU NIS2、DORA、ISO 27001、韓国 ISMS-P、日本 APPI、シンガポール CII。要求される書類の名前はそれぞれ違いますが、土台は重なっています。規制ごとに何を要求し、リスク評価レポートがそのどこを埋めるのかを表にまとめました。
叩いた回数は平凡だったのに、入り込んだ後がすべて最高値だった
昨日、私たちのサーバーのドアを叩いた回数そのものは平凡でした。ところが、ドアが開いた後の行動три つが同じ日に揃って10日間の最高値を記録しました。他人の名前を入館名簿に載せたのが69回、立ち寄った記録を消したのが70回 — ちょうど1つ差でした。
自分の金庫に入れ、自分の鍵で施錠する
「データが国境を越えません」という言葉は愛国心の話ではありません。点検結果が誰のストレージに残り、誰が鍵を握るかの問題です。BYOKと十分性認定を銀行の貸金庫にたとえて解きほぐします。
マインクラフトサーバー1台を落とそうとして、インターネットを止めた大学生たち
ミライは大学生3人がゲームサーバーを攻撃するために作ったプログラムでした。ソースコードをインターネットに公開したその日から話が変わり、10年経った今も私たちのサーバーの扉を叩いています。
ハッシュの賞味期限は一日だった — 傷まなかったのは先頭の一行だけ
昨日、私たちのハニーポットに一昨日とまったく同じアドレスから、まったく同じ名前のファイルが再び降ってきました。ところが実行ファイル三つは中身が丸ごと入れ替わっており、先頭のローダースクリプト一つだけが二日連続で同じでした。ブロックリストに書き込む値ごとに賞味期限が違うということを、昨日のデータが自ら測ってくれました。
鍵を渡さなくても図面は見られる
点検するには何かをインストールしなければならないと考えがちです。エージェントレスはその逆を行きます。家の中を探る代わりに図面を見ます。読み取り専用の権限ひとつで何が分かるのかを整理しました。
名札を付け替えた — リストは二日で外れた
昨日、私たちのハニーポットに二日ぶりで実行ファイルが戻ってきました。二日前の配布元とアドレスの先頭が同じ隣の番地から、ファイル名の規則だけそっくり変わった状態で。あらかじめ書き留めておいた悪性ファイル名12個は一つも引っかからず、代わりに一日に三度繰り返された5秒間の行動が残りました。
直すべき箇所が3000件、どこから手をつけるか
救急外来は来た順に呼びません。危険な順に呼びます。脆弱性リストが数千行になったとき、EPSSがやる仕事はその仕分けです。RMF・NIS2シリーズ第3回。
四日前と同じ20秒が、3.8倍速く再びやって来た
昨日、私たちのハニーポットは観測史上もっとも混み合っていました。セッション3,553件、コマンド7,574個。ところがサーバーへ降りてきた悪性実行ファイルは一件もなく、あるセッションは四日前の記録と七つの値が同一でした。違ったのは所要時間ひとつだけです。
リスク評価という言葉が難しく聞こえる理由
健康診断結果表には「健康です」ではなく、数値と等級が書かれています。リスク評価も同じです。NIST SP 800-30 と ISO 27005 がリスクをどうやって数字に変えるのかを解きほぐします。RMF・NIS2 シリーズ第2回。
初めて見るアドレスからファイルが三つ — 表札に見覚えがあった
昨日、私たちのハニーポットに、五日間一度も現れなかった新しいアドレスが登場しました。ところがフォルダ名も、ファイル名の付け方も、以前のアドレスとまったく同じでした。初めて見るアドレスを初日に見分けられた理由と、それによって言えること・言えないことを分けて書きました。
EUに製品を売るなら、なぜセキュリティの「書類」を出さなければならないのか
飲食店のドアに貼られた衛生等級表のように、EUはセキュリティも言葉ではなく書類で見ます。NIS2とは何か、なぜ契約の場で「証跡」という言葉が出てくるのかを解きほぐします。RMF・NIS2シリーズ第1回。
結びつける指紋がないとき残るもの — セッションの形
昨日ハニーポットで完結したテルネットセッション4件が、コマンド数31個、ダウンロード1件、滞在時間68秒台まで同じでした。テルネットには接続プログラムの指紋が存在せず、普段使っている束ね方が通用しませんでした。指紋なしで何を手がかりに束ねたのか、その束ねがどこまでしか語らないのかを整理しました。
ファイルは一つも残っていないのに、鍵だけが三日目も増え続けている
63秒のセッション一つが、検体は一件も残さずSSH公開鍵だけを植えて出て行きました。同じハッシュの鍵が8/16・8/17・8/18と三日連続で出ており、植えた送信元は10か所 → 12か所 → 16か所へと増えています。ウイルス対策ソフトが捕まえるファイルが存在しない侵害を、どう気づけばいいのかを整理しました。
コマンド1行、3.6秒 — その中に5段階すべてが入っていた
3日連続でTelnetだった完結セッションが、4日目にSSHへ変わりました。侵入者は3.6秒滞在し、コマンドはたった1行でした。