訪れた場所は最多、やったことは6分の1 — 増えたのはただ一つ

最近の家の玄関に付いているドアロックは、開ける方法が一つではありません。暗証番号でも開き、カードをかざしても開き、指紋でも開きます。

ここで多くの人が気づかずに通り過ぎることが一つあります。カードは複数枚を登録しておくことができ、暗証番号を変えても登録されたカードはそのまま開きます。 暗証番号はドアの前で押すものであり、カードのリストはドアロックの中に保存されているものだからです。互いに別の物です。

だから引っ越しをしたら、本来やるべきことは二つです。暗証番号を変えること、そして登録されたカードのリストを消すこと。 ほとんどの人は前者だけをやります。後者は画面を何度か押さないと出てこないうえ、見なくてもすぐには何も起きないからです。

2026年8月27日の一日、私たちのハニーポットに残った記録は、まさにその二番目の話です。

まず聞き慣れない言葉を一つだけ説明しておきます。ハニーポットとは、わざと隙のある状態にしてインターネット上に置いた囮のサーバーです。本物の業務はしません。誰が入ってきて何をするのかを丸ごと記録するために開けておいた機械です。以下の数字はすべてそこに記録されたものです。

三つの数字が互いに反対方向に動きました

事実 まず急落した方から置きます。8月26日にこのサーバーで実行されたコマンドは14,344個でした。8月27日は2,313個です。一日で約6分の1になりました(-83.9%)。セッションも5,488件から2,605件へと半分以上減りました(-52.5%)。

事実 ところが訪れてきた場所の数は逆に動きました。互いに異なる送信元が442か所です。8/25 361か所 → 8/26 373か所 → 8/27 442か所と、3日連続で最多を更新しました。 私たちがアーカイブとして持っている12日間のうち最も少なかった日は8/16の131か所でした。その3.4倍です。

事実 二つの数字を割ってみるとこうなります。セッション一つあたりのコマンドは8/26には2.61個でしたが、8/27には0.89個です。ドアを開けて入ってきて、平均して一言も言わずに出ていったわけです。

推定 広く撫でつつ深くは入らなかった日です。ドアの前まで来た人は12日間で最も多かったのに、中で何かをした痕跡は最も少ない部類でした。

事実 その中で、ただ一つ最多を記録した行動があります。「永続化 — SSH鍵の仕込み」36回、そしてその鍵を残していった送信元が互いに異なる26か所です。この値の12日間の推移は、8/16 10か所 → 8/18 16か所 → 8/23 6か所 → 8/24 19か所 → 8/25 21か所 → 8/26 12か所 → 8/27 26か所です。確認区間で最大の値です。

ここでSSH鍵の仕込みが何なのかをその場で説明します。Linuxサーバーには authorized_keys(許可された鍵のリスト)というファイルがあります。ここに公開鍵を一行書いておけば、その対になる鍵を持っている人はパスワードを聞かれずにそのまま入ってきます。ドアロックにカードを一枚登録しておくのと同じです。そしてドアロックとまったく同じで、暗証番号をすべて変えても登録されたカードはそのまま開きます。

一日を時系列で

時系列に並べるとこうなります。表は長いですが、三行目と四行目の時刻に注目してください。 分ではなく秒単位で重なっています。

1. 2026-08-27T00:57:17Z ~ 00:58:25Z (67.3秒)
   事実 ATK-2A42D2(125.229.x.x)、telnetログイン成功。コマンド31個、ダウンロード1件。intents 3種 — ファイルダウンロード・実行権限付与・ダウンロード後実行。completeness 16。TTY録画あり(内容は含まれない)。telnetなので fingerprint・client は空文字列である。この別名は306バイトのPOSIXシェルスクリプト(a6296a79…、hxxp://185[.]93[.]89[.]72/wget)の delivered_by リストにある
2. 2026-08-27T07:29:41Z ~ 07:29:42Z (1.3秒)
   事実 ATK-10149C(45.198.x.x)、telnetログイン成功。1.35秒の間にコマンド3個、ダウンロード1件。intents 3種、completeness 14 — この日の上位5個の中で最も短く最も低い。この別名が hxxp://5[.]182[.]210[.]174/ok の1,608バイトのbashスクリプト(99308ec8…)を受け取った唯一の出所である
3. 2026-08-27T08:37:07Z ~ 08:38:07Z (60.8秒)
   事実 ATK-6817F1(103.78.x.x)、telnetログイン成功。コマンド17個、ダウンロード0件。intents 5種 — 偵察 → ファイルダウンロード → ダウンロード後実行 → 実行権限付与 → 永続化(SSH鍵の仕込み)。completeness 17 でこの日の最高値である
4. 2026-08-27T08:37:59Z ~ 08:39:02Z (63.1秒)
   事実 ATK-EE174F(13.143.x.x)、telnetログイン成功。上のセッションがまだ進行中の状態で52秒後に始まり、約8.3秒間重なった。コマンド数17個・intents 5種・completeness 17 が前のセッションと完全に同一である。異なる送信元、同じ進行。両セッションともダウンロード0件である
5. 2026-08-27T09:58:13Z ~ 09:59:21Z (67.4秒)
   事実 ATK-DD3BCB(114.35.x.x)、telnetログイン成功。コマンド31個・ダウンロード1件・intents 3種・completeness 16 で、00:57 の ATK-2A42D2 と所要時間(67.4秒対67.3秒)まで事実上同じであり、両者とも同じ306バイトのスクリプト(a6296a79…)の delivered_by リストにある
6. 2026-08-27 一日集計
   事実 389バイトのOpenSSH RSA公開鍵(a8460f44…)が互いに異なる出所26か所から34回観測された。URLは記録されていない。同じ日の command_intents の「永続化 — SSH鍵の仕込み」は36回で、検体イベント34回と2回の差である — 8/25(意図69回対イベント21回、3倍以上の開き)と違ってほぼ一致する
7. 2026-08-27 一日集計
   事実 hxxp://185[.]93[.]89[.]72/wget の306バイトPOSIXシェルスクリプトが8/17以降11日連続で同一ハッシュ(a6296a79…)で出てきた。出所は2か所・2回で、8/25と同じく確認区間の最低値である(8/22の15か所が最大)。逆に hxxp://5[.]182[.]210[.]174/ok はこの日もサイズだけ正確に1,608バイトで同じで、ハッシュはまた新しいものである
8. 2026-08-27 一日集計
   事実 この日の downloads 4件はSSH公開鍵1・POSIXシェルスクリプト1・bashスクリプト1・9バイトASCIIテキスト1(4af5a5c9…、ATK-BECAD3 一か所・2回)である。ELF実行バイナリは0個である
9. 2026-08-27 一日集計 (センサー02)
   事実 ハニーポット02 接触30,804件 / ユニーク送信元266か所。VNC 29,111(ユニーク38) · RDP 1,425(ユニーク116) · SMB 162(ユニーク46) · LDAP 58(ユニーク38) · MSSQL 22(ユニーク19)、ADBセッション26。サービス5種の合計30,778 + ADB 26 = 30,804 で総計が合う。昨日の42,493件比 -27.5%

事実 表から見えるのは二つのペアです。08:37の二件は異なる送信元なのに、コマンド数・意図の種類・完結性スコアが一つも違わず同じです。 00:57と09:58の二件も、コマンド31個・ダウンロード1件で、かかった時間が67.3秒と67.4秒と事実上同じです。

推定 同じツールが二度動いた形と読みます。ここまでが言えることのすべてです。私たちのデータにはコマンドの原文がないため、同じ人物だとか同じ組織だとは言えません。

仕込まれたカードは389バイトの一枚でした

事実 26か所が残していったものは、互いに異なる26枚ではありません。まったく同じファイル一枚です。389バイトのOpenSSH RSA公開鍵で、指紋(sha256)は a8460f44… です。

ここで指紋という言葉も説明しておきます。ファイル全体を計算して取り出した64桁の値です。ファイル内の文字が一つ違うだけで値が丸ごと変わります。だから二つのファイルが同じか違うかをこの値で判定します。

事実 389バイトはショートメッセージ2〜3行ほどの大きさです。そしてこの指紋は8/16から8/27まで12日連続で同じです。

推定 同じカードが12日間ずっと登録され続けていたということです。その間のどれか一日でも実際のサーバーにこのカードが入ることに成功していたなら、そのサーバーは今日も同じカードで開きます。パスワードをその間に何度変えていようと関係ありません。

事実 二つの数字がほぼ噛み合います。コマンドから読み取った「鍵の仕込み」の意図は36回、実際にそのファイルが保存されたイベントは34回です。2回の差です。 8/25にはこの二つの値が69回と21回と3倍以上開いていました。この日はほぼ揃いました。

推定 とはいえ36回すべてがこのファイルを仕込んだものだとは言えません。データが二つの数字を結びつけてくれません。この話は末尾の「私たちが分からないこと」で改めて取り上げます。

事実 そしてこの日のダウンロード4件のうち実行バイナリ(ELF)は0個です。ELFはLinuxで直接実行されるプログラムファイル形式です。8/26にはCPU種別ごとに4種が落ちてきましたが、この日は一つもありませんでした。

推定 ウイルス対策ソフトが捕まえるような代物が何も落ちてこなかった日です。ところが再び入ってくる通路を作る行動は12日間で最も多かったのです。「マルウェアが検出されなかった」と「何も起きなかった」は同じ意味ではありません。

最も多く訪れてきた群れは何も置いていきませんでした

事実 SSHで入ってくる接続は、プログラムごとに少しずつ異なる挨拶文を使います。その挨拶文を要約した値をクライアント指紋と呼びます。どのプログラムで接続したのかを指し示す値です。

事実 この日の442か所のうち上位16種の指紋が267か所(60.4%)をカバーします。そのうち一つ(acaa53e0…、SSH-2.0-OpenSSH_7.4)だけで**206か所、全送信元の46.6%**です。ほぼ半分が同じプログラムを使っていました。

事実 ところがこの最大の群れはファイルを一つも置いていきませんでした。 検体を残した指紋は二種だけで(どちらもSSH-2.0-Go)、それぞれ2か所ずつ、合わせて4か所です。この日の送信元の**0.9%**です。

推定 「送信元は最多なのに行動は急減」というこの日の逆転が、指紋のレベルでもそのまま見えます。ただしここで一つ線を引かなければなりません。これはビルドの指紋であって人の指紋ではありません。 同じディストリビューションに入っている標準のOpenSSHを使う、互いに何の関係もない人も同じ値を持ちます。同じツールだとだけ言えて、同じ組織だとは言えません。

どんなパスワードが試されたか

事実 この日のログイン試行は2,298回です。一日をきっちり割ると約38秒に一度の割合で誰かがドアノブを回してみたことになります。

事実 以下はそのうち互いに異なるIP3か所以上で観測された組み合わせだけを抜き出した20種です。一か所からしか出ていない組み合わせは、流出した本物の認証情報である可能性があるため値を載せません。

事実 この20種のほかに、単一の出所からしか出ていない組み合わせが757種あります。個数だけを記し、値は書きません。

推定 表の一番上の行がこの日の絵を要約しています。345gs5662d34 は何の意味もなさそうな文字列です。IDとパスワードがまったく同じです。これを互いに異なる26か所が示し合わせたかのように同じように打ちました。 人が一つずつ思いついた値ではなく、どこかに出回っているリストをそのまま読んでいるという意味に読みます。

置いていったファイル四つ

書き取るべき値です。値を押すとコピーされます — 読むためにあるのではなく、ブロックリストに入れるためにある値です。アドレスはわざと壊して書いてあります(hxxp://、[.])。そのままコピーして貼り付けても接続されません。

推定 ここで二つのアドレスの性格が分かれます。185[.]93[.]89[.]72 のファイルは11日間ずっと指紋が同じです。指紋を一つ書き留めておけば10日以上使えます。逆に 5[.]182[.]210[.]174 のファイルはサイズだけが毎回正確に1,608バイトで、指紋は変わり続けています。 こちらは指紋を書き留めても翌日には外れます。同じリストに入る値なのに、有用性が保たれる期間が違います。

国際分類表に対応させると

攻撃者が使った手口には、世界中が共通で使う番号が付いています。MITRE ATT&CKというリストです。以下でIDを押すと原文の説明に飛びます — 私たちの言葉を信じず直接確認してほしいので付けてあります。

• T1110Brute Force — login_attempts 2,298回、引用可能な組み合わせ20種 + 単一出所の組み合わせ757種推定
• T1078.001Valid Accounts: Default Accounts — admin/admin(14か所)・root/root(7か所)・user/user(4か所)などが観測され、上位5個のセッションがすべて login_success=true推定
• T1098.004Account Manipulation: SSH Authorized Keys — 「永続化 — SSH鍵の仕込み」36回、389バイトのRSA公開鍵が出所26か所・34回。この日のブリーフの中心的根拠である推定
• T1105Ingress Tool Transfer — 「ファイルダウンロード」10回・「ダウンロード後実行」10回、外部URLが記録された配布元2か所推定
• T1222.002Linux File and Directory Permissions Modification — 「実行権限付与」67回推定
• T1070Indicator Removal — 「痕跡削除」36回 (8/25の70回に対し約半分)推定
• T1082System Information Discovery — 「偵察 — システム」1,811回でこの日のコマンドの78.3%推定
• T1595Active Scanning — センサー02の接触30,804件が5つのサービスにまたがっており、シェル・ログイン成功は存在しない。侵害以前の段階のマッピングである推定

事実 八行のうち最も大きい数字は下から二番目、偵察1,811回です。この日の全コマンドの78.3%です。一日で割ると約48秒に一度、「ここは何の機械だ?」を確認するコマンドが入ってきました。

推定 表全体をバッジで見ると八行すべてが「推定」です。私たちが見たのはコマンドの意図分類と個数であって、攻撃者が自ら明かした目的ではないからです。

一日全体

事実 センサー01(高対話型ハニーポット)基準です。

事実 接続の通路にも、もう一つひっくり返った部分があります。セッション数ではSSHが2,419件と圧倒的です。ところがログインに成功したあと実際の行動にまでつながった上位5個のセッションは例外なくtelnetでした。telnetは非常に古い遠隔接続方式です。インターネットの向こうからその機械のコマンドラインを直接叩けるように開けておく通路ですが、パスワードが暗号化されずにそのまま流れます。

事実 隣に立てておいた別のサーバー(センサー02)の数字も載せておきます。こちらは低対話型なのでログイン成功・コマンド・認証情報がそもそも存在しません。 数えるのは「何回叩いたか」と「プロトコルが何を提案したか」だけです。

推定 同じサーバーなのに、二つのドアの前の絵が正反対です。VNC側は数か所が一日中張り付いており、RDP側は多くの場所が一度ずつ通り過ぎました。ただしここで観測されたのはプロトコルのネゴシエーション段階までです。認証バイパスや脆弱性攻撃が確認されたわけではありません。

では何をすべきか

推定 ブリーフが整理した「この統制がなかったら」の六項目のうち、この日のデータが最も強く裏付ける順に並べます。

1. 登録されたカードのリストを見る — この日の中心です。ログイン成功後に攻撃者側の公開鍵を仕込む行動が36回、仕込んだ出所が26か所です。サーバーをお使いなら ~/.ssh/authorized_keys ファイルを一度開いてみてください。自分で入れた覚えのない行があれば、それが他人のカードです。パスワードを変えることでは消えません。

2. パスワードログインを切って鍵ログインだけ残す — 上の表の20種は、互いに異なるIP3か所以上が実際に叩いた組み合わせです。このうち一つでも生きていれば、その日のうちに開きます。

3. 管理ポートをインターネットにそのまま開けておかない — 脆弱性がなくてもスキャンの対象になります。開いているというだけの理由で442か所が張り付きました。

4. 同じ場所が叩き続けるならブロックする — センサー02でVNC接触29,111件が38か所から出ました。38か所をブロックするだけでその日の接触の94.5%が消えます。ブロックすべき対象が思ったより少ないという意味でもあります。

5. サーバーから外へ出ていく接続を制限する — ファイルダウンロード10回・ダウンロード後実行10回がここで断たれます。ただしこの日はダウンロードの規模自体が小さかったのです。事実 そしてこの日の主要な永続化経路だったSSH鍵の仕込みは、外へ出ていく接続を必要としません。アウトバウンド遮断では防げません。

6. ログをサーバーの外に別途残す — 痕跡を消そうとする意図が36回観測されました。ログがサーバーの中にだけあったなら、そのうち一部は成功していたでしょう。私たちが上のタイムラインを書けるのも、ログがサーバーの外に残っているからです。

以前にもあったこと

推定 Mirai系列(2016年のソース公開以降、現在まで派生が継続)。 完結性上位5個のセッションがすべてtelnetで、すべてログインに成功しており、引用可能な認証情報が admin/admin・root/root・user/user のようなデフォルト値中心だという点が、公開されたtelnetデフォルト値辞書の拡散方式と重なります。ただしこの日はCPU種別ごとのELF配布がありませんでした(ダウンロード4件のうちELF 0件)。系列の帰属ではなく手法の文脈としてのみ引用します。 (根拠: 米国CISAアラート TA16-288A および公開されたソースコード・多数のベンダー分析レポート)

推定 TeamTNT Linux・クラウドキャンペーン(2020年〜、多数のベンダーが継続追跡)。 ログイン成功直後に authorized_keys に攻撃者の公開鍵を仕込み、認証情報を変えても維持される再接続経路を確保する組み合わせです。この日の鍵の仕込み36回と同一ハッシュの公開鍵の出所26か所がこの形です。8/25の記事も同じ事例を引用しましたが、そのときの根拠は「意図69回・痕跡削除70回の同時最高値」でした。この日は全体の活動が急減した日に鍵の仕込みの出所数だけが最高値という、反対方向の根拠です。私たちのデータにはコマンドの原文がないため、同一ツール・同一行為者だと言う根拠はありません。(根拠: 複数のセキュリティ企業の公開レポートおよびMITRE ATT&CK T1098.004文書)

私たちが分からないこと

この記事で最も重要な部分です。上に書いたことよりも書けなかったことの方が多いのです。

• 「永続化 — SSH鍵の仕込み」の意図は36回、389バイトの公開鍵のダウンロードイベントは34回です。2回の差で8/25(69対21)よりはるかに近いですが、データが意図のカウントと検体のカウントを結びつけてくれません。36回すべてがこの鍵を仕込んだものなのかは確認できません。 この記事のタイトルはこの数字にかかっています。
• 公開鍵 a8460f44… の伝達出所は26か所のうち10か所しか表記されていません。08:37の双子セッション(ATK-6817F1・ATK-EE174F)は意図に「鍵の仕込み」がありますが、表記された10か所に含まれておらず、この二つのセッションがその鍵を仕込んだのかをデータで確認できません。
• その双子セッション二件は意図に「ファイルダウンロード」と「ダウンロード後実行」があるのに、ダウンロード数は0です。ダウンロードが失敗したのか、成功したが保存されなかったのかを区別できません。
• コマンド数・所要時間・意図・完結性が完全に同じセッションのペアが二つ出ました(31個/約67秒のペア、17個/約61〜63秒のペア)。同じツールが動いた結果に見えますが、コマンドの原文がないため確認できず、同じ人物・同じ組織だという根拠はなおさらありません。
• TTY録画の件数は1,910なのに、実際に保管されたものは188件です。10倍の差が保管ポリシーによるものなのか、集計基準が違うのかは分かりません。
• 参考指標にDiscordのWebhookアドレス一件が壊された状態で載っていますが、この値がこの日の観測分なのか累積分なのか日付がありません。この日のダウンロード4件のどれにも紐づいておらず、8/16〜8/26の記録にも関連指標がありません。新規である可能性はありますが、「この日に観測された」と断定できないため本文の事実としては使いませんでした。
• 同じ理由で 31[.]77[.]227[.]121/bins/* 12件も日付表記がありません。8/16の記録に同じホストの同じパスがすでにあるため新規とは見なしにくく、この日はELFが0件なので、この12件とこの日の観測を結びつけませんでした。
• hxxp://5[.]182[.]210[.]174/ok の累積ハッシュ種別数は私たちのアーカイブを足した値なので、重複排除が保証されません。正確な総計としては使いません。確実なのは8/17以降サイズが毎回正確に1,608バイトなのにハッシュは変わり続けているということだけで、ファイルの内容を保持していないため何が変わったのかは言えません。
• 別名 ATK-10149C が8/22〜8/24の記録の同じ送信元を指すという前提は、私たちの別名規則によるものです。同じ送信元を意味するだけで、同じ人物・組織という意味ではありません。
• センサー02のADBセッションは26件ですが、8/26にあったADBの詳細がこの日のデータにはありません。収集失敗と明示されてもいないので、「その日ADB攻撃がなかった」とは書けず、このチャネルの情報量が昨日より減ったという事実だけを記録します。
• センサー02で「一つの送信元が複数のサービスを撫でたのか」は判定できません。送信元ごとのサービス一覧がなく、サービス別のユニークIPの合計(38+116+46+38+19=257)が総ユニークIP 266より小さいため、重複がまったくなくても数値が成立します。
• センサー01の442か所のうち、クライアント指紋の上位16種がカバーするのは267か所です。残り175か所の分布は分からず、telnetセッションには指紋自体が存在しません。クラスタの総数は45なのに、データには16種しか載っていません。
• 二つのセンサーを合わせたユニーク送信元708か所は、共通部分が分からないために出てきた上限です。実際に両方のセンサーに触れた場所が何か所なのかは分かりません。

そして以下はそもそも確認する手段がないものです。推定しません。

• ASN・ISP — 関連データベースがありません。配布元 185[.]93[.]89[.]72・5[.]182[.]210[.]174 がどの事業者にあるのか、センサー02の上位送信元が互いに同じネットワークなのかを言えません。
• 地理情報 — 同じくありません。そしてIPの地理情報はそもそも帰属の根拠になりません。いかなる国・企業・個人もこの日の攻撃者として名指ししません。
• VPN・Tor・クラウドかどうか — 判別手段がありません。442か所・266か所のうちどれが経由地でどれが原点なのかを区別できません。
• VirusTotal — 連携していません。この日の検体4件に外部の複数エンジンによる判定を付けられません。
• User-Agent — 二つの観測面ともHTTPではありません。01はSSH・telnet、02はSMB・RDP・VNC・MSSQL・LDAP・ADBです。
• CVEとの紐づけ — この日、二つのセンサーのどこにも特定の脆弱性を参照した痕跡がありません。背景統計として持っているCVEの数値は、この日観測されたいかなるセッション・検体とも結びついていません。

推定 まとめると、この日はこうです。ドアの前まで来た場所は12日間で最も多く、中でやったことは6分の1に減りました。ところがカードを一枚登録していった場所だけが26か所で最も多かったのです。 そのカードは12日目のまったく同じ一枚です。

パスワードを変えるのはドアロックの番号を変える作業です。その作業をどれだけ熱心にやっても、登録されたカードのリストを一度も開いてみなければ、ドアは開き続けます。

観測日は2026年8月27日(UTC)の一日です。送信元IPはブリーフのマスキング形式(103.78.x.x)をそのまま移し、復元していません。配布アドレスは接続されないように変形して書きました(hxxp://、[.])。認証情報は互いに異なるIP3か所以上で観測された組み合わせ20種のみを引用し、単一の出所からしか出ていない組み合わせ757種は個数のみを明かして値は載せていません。ASN・国籍・行為者の帰属は確認手段がないため推定しません。