新しいものは何一つなかった — 14日目、同じファイルが九か所から

マンション1階のエントランス前には、毎朝チラシが敷き詰められています。

引っ越してきて最初の数日は、一枚ずつめくってみます。誰がこれを全部入れたのだろう、この時間にどうやって入ってきたのだろう。それが一週間ほど経つと、ただ踏んで通り過ぎます。二週間経つと、チラシがそこにあるという事実自体を認識しなくなります。

ここで一つだけ押さえておきます。チラシが毎日来るというのは、うちが狙われたという意味ではありません。 この界隈を回る人たちがもともと毎日回っている、という意味です。だから驚くことではありません。ところが、驚くことではないのと安全なのも、同じ言葉ではありません。

2026年8月29日の一日、私たちのハニーポットに残った記録がまさにその話です。この日は新しく出てきたものが一つもありませんでした。だからこの日は、新しく出てきたものの代わりに、14日間ずっと一つも変わらなかったものを書きます。

まず聞き慣れない言葉を一つだけ解いておきます。ハニーポットは、わざと手薄に作ってインターネットに出した囮のサーバーです。本当の業務はしません。誰が入ってきて何をするのかを丸ごと記録するために開けておいた機械です。以下の数字はすべてそこに刻まれたものです。

この日、私たちが選んだテーマは「変わらなかった」です

事実 私たちは毎日、その日の原データから前日までになかったものを探します。8月29日には見つかりませんでした。8月16日から8月29日まで14日分の原データ全部と突き合わせてみましたが、この日のもののうち以前の13日になかった項目はありませんでした。

事実 具体的にはこうです。この日保存された公開鍵ファイルの指紋 a8460f44… は14日すべてに出てきます。 ファイルを取ってくるアドレス hxxp://5[.]182[.]210[.]174 と hxxp://185[.]93[.]89[.]72 も、それぞれ13〜14日にわたって繰り返されます。接続プログラムの指紋 16443846…（SSH-2.0-Go）は累計30か所ですでに見た値です。隣に立てておいた二台目のサーバーのVNC接触40,525件も、直前三日間の範囲（29,111〜45,113）の中です。

事実 この日もっとも多くのことをしたセッションの完結性スコアは41でした。最近の最高値は44です。最高記録も破っていません。

推定 だから「今日の新着」という形では書くことがない日でした。代わりに、この状態そのものをテーマに据えました。同じファイルが2週間ずっと、毎回異なる出発地から繰り返し入ってくるというのは、一度起きた事件ではなく常時敷かれている背景だという意味です。事件は終わりますが背景は終わりません。経営報告書に書くには、こちらのほうが不都合な文章です。

一日を時系列で

時系列に並べるとこうなります。行は多いですが、下から四番目、五番目、六番目の行だけを並べて見てください。 時刻はそれぞれ未明・昼・夕方と遠く離れているのに、後ろに付いた数字が三つとも同じです。

1. 2026-08-29T03:51:16Z
   事実 ATK-477862(154.217.x.x, テルネット) ログイン成功。72秒間にコマンド17個。意図5種 — 偵察(システム)・ファイルダウンロード・ダウンロード後実行・実行権限付与・永続化(SSH鍵の埋め込み)。TTY記録あり。保存されたファイル0件
2. 2026-08-29T03:52:28Z
   事実 ATK-477862 セッション終了。この日唯一、偵察→ダウンロード→実行権限→永続化の4段階の意図が一つのセッションにすべて刻まれた件
3. 2026-08-29T06:31:35Z
   事実 ATK-10149C(45.198.x.x, SSH, クライアント SSH-2.0-Go, 指紋 16443846184eafde36765c9bab2f4397) ログイン成功。13秒、コマンド3個、ファイル10件搬入。完結性41で本日最高
4. 2026-08-29T06:31:48Z
   事実 ATK-10149C セッション終了。搬入物は hxxp://5[.]182[.]210[.]174 から受け取ったシェルスクリプト2種と、ARM・MIPS・Renesas SH・ARM EABI4 用の ELF 実行ファイル4種 — アーキテクチャが分からないので全部投げてみるやり方
5. 2026-08-29T06:55:56Z
   事実 ATK-2CB5A2(テルネット) ログイン成功。コマンド20個、ファイル11件、18秒、完結性40
6. 2026-08-29T11:06:42Z
   事実 ATK-48CBAA(テルネット) ログイン成功。コマンド20個、ファイル11件、19秒、完結性40 — 4時間10分前のセッションと形が同じ
7. 2026-08-29T14:52:48Z
   事実 ATK-5392AA(テルネット) ログイン成功。コマンド20個、ファイル11件、18秒、完結性40 — 同じ形がこの日三度目。三つの別名すべてが同じ1バイトファイル(01ba4719…)を保存し、そのファイルは本日33回繰り返し保存された
8. 2026-08-29 (日次集計)
   事実 ハニーポット01: セッション634件、ユニーク出発地183個、ログイン試行251回、コマンド766個、TTY録画152件。コマンド意図1位は「実行権限付与」161回
9. 2026-08-29 (日次集計)
   事実 ハニーポット02: セッション41,968件、ユニーク出発地247個。VNC 40,525件がわずか36個の出発地から出た
10. 2026-08-16 ~ 2026-08-29 (14日対照)
    事実 公開鍵検体 a8460f44… が14日すべてに登場。「SSH鍵の埋め込み」意図の回数は7〜69回の間を行き来し、本日は10回で低いほうだ(最大は08-25の69回)

事実 表で目に引っかかるのは二つです。一つは06:31の13秒です。ログインからファイル10個を全部受け取って出ていくまで13秒かかりました。1.3秒に一つずつ受け取った計算です。もう一つは下の三行です。06:55、11:06、14:52 — 互いに四時間近く離れているのに、コマンド20個、ファイル11件、18〜19秒、完結性40が三つとも同じです。

推定 人が三度座ってやったこととは見にくいです。同じ枠組みが一日に三度回った形として読みます。ただしここまでが全部です。私たちのデータにはコマンド原文がないので、同じ人だとか同じ組織だとかは言えません。

毎日来るあの一枚は広告ではありませんでした

事実 この日、九か所が残していったものは互いに異なる九個ではありません。まったく同じファイル一つです。389バイトのOpenSSH RSA公開鍵で、指紋（sha256）は a8460f44… です。

ここで指紋という言葉を解いておきます。ファイル全体を計算して取り出した64桁の値です。ファイルの中の文字が一つ違うだけで値が丸ごと変わります。だから二つのファイルが同じか違うかを、この値で判定します。

事実 389バイトはショートメッセージ二、三行ほどの大きさです。そしてこの値は8月16日から8月29日まで14日連続で同じです。

公開鍵が何かも、その場で解いておきます。Linuxサーバーには authorized_keys（許可された鍵の一覧）というファイルがあります。ここに公開鍵を一行書いておくと、その対を持つ人はパスワードをまったく聞かれずにそのまま入ってきます。そしてここが肝心なのですが、パスワードを全部変えてもこの一覧はそのまま残ります。 パスワードは扉の前で確認するものであり、この一覧はサーバーの中に保存されたものなので、互いに別の物だからです。

事実 この日「永続化 — SSH鍵の埋め込み」に分類されたコマンドは10回です。14日のうちこの値は7回から69回の間を行き来し、最大は8月25日の69回でした。この日は最大値の7分の1ほどで、低いほうに属します。

推定 ところが、これがこの日の要点です。少なく来ましたが、それでも来ました。チラシが昨日は二十枚、今日は三枚入ってきたからといって、チラシを入れる人がいなくなったわけではありません。量が減ることと止まることは違います。 そしてこの紙は一枚入るだけで終わりです。14日のうちどの一日であれ、実際のサーバー一台でこの行が保存されていたなら、そのサーバーは今日も同じ鍵で開きます。その間にパスワードを何度変えたかは関係ありません。

同じアドレスから受け取った二つのファイルの指紋が違いました

事実 06:31のATK-10149Cが13秒間に受け取っていったファイル10件を開けてみるとこうです。hxxp://5[.]182[.]210[.]174/ok から受け取った1,608バイトのBashスクリプト二つ、そして同じアドレスから受け取ったELF実行ファイル四つです。

ELFはLinuxでそのまま実行されるプログラムのファイル形式です。そして四つがそれぞれARM・MIPS・Renesas SH・ARM EABI4用です。これはCPUの種類です。同じプログラムでもCPUが違えば実行されないので、種類ごとに別々に作らなければなりません。

推定 四種類を一つのセッションで全部投げたというのは、この機械が何なのか分からないまま来たという意味です。鍵束を丸ごと持ってきて一つずつ差してみるのと同じです。一つ合えばそれでいいのです。サーバーでもルーターでもNASでも構いません。

事実 四つを合わせると291,267バイトです。52,496 + 68,632 + 46,288 + 123,851。そしてそのうち最後の一つ（ARM EABI4、123,851バイト）だけがデバッグ情報がそのまま付いていて、ストリップされていません。 残りの三つはストリップされています。ストリップは、プログラムから人が読める名札を剥がす作業です。剥がすとファイルが小さくなり、解析は難しくなります。四つのうち一つだけその作業がされていなくて、もっとも大きく、もっとも読みやすい状態で入ってきました。

事実 Bashスクリプトのほうには、もっと妙なものがあります。アドレスも同じ、サイズもきっかり1,608バイトで同じなのに、指紋が互いに異なる二つ（801cba39…、0c058175…）が出てきました。

推定 同じ場所から受け取ったのに、中に入っているものが違ったという意味です。何が違ったのかは、私たちがファイルの内容をブリーフに載せていないので言えません。ただ、ブロックリストを運用する立場ではこれが実務的な問題です。指紋を一つ書いておくと、もう一つはそのまま通過します。

1バイトの空ファイルが33回保存されました

事実 この日もっとも多く保存されたファイルは、公開鍵でも実行ファイルでもありません。1バイトの空ファイル（01ba4719…）で、33回保存されました。1バイトは文字一つ分の大きさです。ファイルの種類を知らせる標識すらないので「マジックなし」に分類されています。

事実 持ち込んだのは三つの別名 — 06:55のATK-2CB5A2、11:06のATK-48CBAA、14:52のATK-5392AA です。上のタイムラインでコマンド20個・ファイル11件・18〜19秒がまったく同じだった、あの三件です。

推定 三つのセッションがそれぞれ11件ずつ、三つを足すと33件です。数字が合うので、三つのセッションがそれぞれ同じ空ファイルを11回ずつ保存した可能性があります。ただしブリーフがその繋がりを直接書いてくれてはいません。そしてこのファイルが何であり、なぜ繰り返されるのかは分かりません。 この話は末尾でもう一度取り上げます。

ドアノブは6分に一度ずつ回されました

事実 この日のログイン試行は251回です。一日をぎっしり割ると約6分に一度、誰かがIDとパスワードを入れてみました。互いに異なる出発地は183か所です。

事実 以下はそのうち互いに異なるIP3か所以上で観測された組み合わせだけを抜き出した11種です。一か所だけから出た組み合わせは、実際にどこかで流出した本物のアカウントである可能性があるため、値を載せません。

事実 この11種のほかに、単一の出所からのみ出た組み合わせが142種あります。個数だけ書き、値は書きません。

推定 表を上から下へ読むと性格が見えます。admin/admin を互いに異なる13か所が同じように叩きました。183か所のうち7%が、示し合わせたように同じ値を入れたという意味です。二行目の 345gs5662d34 は何の意味もなさそうな文字列なのにIDとパスワードが同じで、これを9か所が同じように叩きました。人が一つずつ思いついた値ではなく、どこかに出回っている一覧をそのまま読んでいるという意味に読みます。私たちを狙って作った一覧ではありません。どの家にでも入れてみるチラシと同じです。

置いていったファイルたち

書き取るべき値です。値を押すとコピーされます — 読むためにあるのではなく、ブロックリストに入れるためにある値です。アドレスはわざと壊して書いてあります（hxxp://、[.]）。そのままコピーして貼り付けても接続されません。

推定 この一覧を上から下へ読むと、値ごとに使い道が保たれる期間が違うことが見えます。一番上の公開鍵の指紋は14日目もそのままなので、一度書いておけば2週間使えます。逆に 5[.]182[.]210[.]174/ok のファイルは、同じ日に同じ場所でも指紋が二つありました。指紋を書いておくこととアドレスを書いておくことは、同じ一覧に入るけれども寿命の違う作業です。

国際分類表に対応させると

攻撃者が使った手口には、世界中が一緒に使う番号が付いています。MITRE ATT&CKという一覧です。以下でIDを押すと原文の説明に飛びます — 私たちの言葉を信じず、直接確認してみてくださいという意味で付けておきます。

• T1110.001Brute Force: Password Guessing — ログイン試行251回 / ユニーク出発地183個推定
• T1078.001Valid Accounts: Default Accounts — admin/admin(13個のIP)、root/root、support/support推定
• T1082System Information Discovery — 「偵察 — システム」75回推定
• T1105Ingress Tool Transfer — 「ファイルダウンロード」27回、検体10種を保存推定
• T1222.002File and Directory Permissions Modification: Linux — 「実行権限付与」161回推定
• T1059.004Command and Scripting Interpreter: Unix Shell — コマンド766個、シェルスクリプト検体3種推定
• T1098.004Account Manipulation: SSH Authorized Keys — 「永続化 — SSH鍵の埋め込み」10回、公開鍵ファイルを9個の別名で保存推定
• T1070Indicator Removal — 「痕跡削除」10回推定
• T1046Network Service Discovery — ハニーポット02でRDPクッキーに「nmap」文字列2回、LDAP・MSSQL・SMBの低頻度接触推定

事実 九行のうちもっとも大きい数字は五番目、実行権限付与161回です。この日のコマンド766個の21%です。受け取ってきたファイルに「実行してよい」という印を付ける作業です。これが一日のコマンドの5分の1だということは、入ってきた側の目的が見物ではなく実行だったという意味に読めます。

推定 そして九行が全部「推定」バッジです。私たちが見たのはコマンドの意図分類と個数であって、攻撃者が自ら明かした目的ではないからです。

昨日一日の全体

事実 センサー01（高対話型ハニーポット）基準です。

事実 ポートとプロトコルの数字が332と302で正確に重なります。だからテルネットは2223、SSHは2222と合わせて書きました。ただしこれは数字を見て合わせたものであって、セッション一つひとつにポートが記録されているわけではありません。

テルネットは非常に古い遠隔接続の方式です。インターネットの向こうからその機械のコマンド画面を直接叩けるように開けておく通路ですが、パスワードが暗号化されずそのまま流れていきます。この日はその通路が半分を少し超えました。

事実 隣に立てておいた二台目のサーバー（センサー02）の数字も写しておきます。こちらは低対話型なので、ログイン成功・シェルコマンド・認証情報がそもそも存在しません。 数えるのは「何回叩いたか」と「プロトコルが何を提案したか」だけです。すべて扉を叩いた記録であって、入ってきた記録ではありません。

事実 全体ではセッション41,968件、ユニーク出発地247か所です。一日で割ると約2秒に一度、何かがこのサーバーを叩きました。

推定 同じサーバーなのに、二つの扉の前の絵が正反対です。VNC側は36か所が一か所あたり1,126回ずつ張り付いていて、RDP側は132か所が一度ずつ通り過ぎました。前者は少数による大量の反復、後者は多数による浅いなぞりです。

事実 プロトコルが語ってくれたこともあります。VNC接触40,525件のうち40,488件が003.003バージョンを提案しました。 99.9%です。新しいほうの003.008は31件だけです。SMB側には「PC NETWORK PROGRAM 1.0」（19回）、「LANMAN1.0」（36回）、「Windows for Workgroups 3.1」（18回）のような数十年前の方言が混じっていました。RDP接続クッキーには <ip> 494回、hello 449回、そして nmap 2回・naap 2回・eltons 2回・空の値2回が記録されました。

推定 99.9%が同じ古いバージョンを提案したというのは、人の手ではなく同じスクリプトが繰り返し叩いた痕跡と読みます。古い方言を先に持ち出すのも、古いシステムまで拾い上げようとする幅広いスキャンの特徴です。

事実 上位の出発地6か所（ATK-43D1F7・ATK-943F0E・ATK-554563・ATK-992AD3・ATK-B24952・ATK-D9A63B）がそれぞれ5,051〜5,276件とほぼ同じ量を出し、次の3か所（ATK-28B422・ATK-B954FC・ATK-AE6CC0）も3,146〜3,171件で固まっています。

推定 同じ作業量を分け合った分散スキャナーに見えます。ただしこれは規模のパターンであって所属の根拠ではありません。

事実 昨日（8/28）と比べると全般的に減りました。VNC 45,113 → 40,525、RDP 2,114 → 1,064、ADB 87 → 37です。直前三日間の範囲（29,111〜45,113）の中なので、特別に集中した日ではありません。

事実 ADB検体4件のサイズは46,525 ・ 153,208 ・ 239,388 ・ 334,816バイトです。3件が単一の別名ATK-1D7F04、1件がATK-1D7F04・ATK-CBA37Dの共同です。これらのファイルには、どこから受け取ってきたのかが記録されていません。 ブロックリストに載せるアドレスが残っていないという意味です。

ツールはそのままでした

事実 SSHで入ってくる接続は、プログラムごとに少しずつ異なる挨拶を使います。その挨拶を要約した値をクライアント指紋と呼びます。どのプログラムで接続したのかを指す値です。

事実 この日の指紋クラスタは45個でした。そのうち f555226df1963d1d3c09daf865abdc9a（SSH-2.0-libssh_0.9.6）はこの日9か所、累計289か所で観測された値です。この日の最高完結性セッションが使った 16443846…（SSH-2.0-Go）も、累計30か所ですでに見た値です。

推定 出発地のIPは毎日変わるのにツールはそのまま、という意味です。この点は同じ日に上げた短い動画で別途扱いました。

事実 ただし線を二本引かなければなりません。第一に、これはビルドの指紋であって人の指紋ではありません。 同じディストリビューションに入っている既定のlibsshを使う、互いに何の関係もない人でも同じ値を持ちます。45個のクラスタを45個の主体として読んではいけません。第二に、テルネットにはこの指紋がそもそも存在しません。 この日のセッションの半分以上がテルネットだったので、この方法ではその半分をまったく束ねられません。

それで何をすべきか

推定 ブリーフが整理した「この統制がなかったら」の六つのうち、この日のデータがもっとも強く支えてくれる順に並べます。

1. authorized_keys を一度開いてみる — この日の中心です。ログインに成功したあと攻撃者側の公開鍵を埋め込む行動が10回、そのファイルを残していった出発地が9か所です。サーバーをお使いなら ~/.ssh/authorized_keys ファイルを開いてみてください。自分で入れた覚えのない行があれば、それが他人の鍵です。パスワードを変えることでは消えません。 インシデント対応でパスワードだけ初期化してこのファイルを見なければ、「対応完了」の判子を押したあとも扉は開いています。

2. 既定アカウントとありふれたパスワードをなくす — 上の表の11種は、互いに異なるIP3か所以上が実際に叩いた組み合わせです。このうち一つでも生きていれば、かかる時間は分ではなく秒単位です。この日観測された五つのセッションがすべてログインに成功し、もっとも速いものはログインからファイル10個の搬入まで13秒でした。

3. 管理ポートをインターネットにそのまま開けておかない — 脆弱性がなくても対象になります。宣伝したこともないアドレスなのに一日に183か所が張り付き、隣のサーバーには247か所が張り付きました。開いているという理由一つでそうなります。

4. 同じ場所が叩き続けるなら遮断する — VNC接触40,525件が36か所から出ました。36か所を遮断するだけで、その日の接触の大部分が消えます。 遮断すべき対象が思ったより少ないという意味でもあります。遮断がなければ、この騒音がそのまま認証処理とログ保管庫を叩き、本当に成功した一件が騒音に埋もれます。

5. サーバーから外に出ていく接続を制限する — ファイルダウンロード27回・ダウンロード後実行27回がここで途切れます。そしてここに一つ付け加えることがあります。事実 この日の検体のうちには、解凍しないと中に入っているアドレスが見えないものが12件あり、そのアドレスは hxxp://31[.]77[.]227[.]121/bins/ 系列でした。推定 表面にURLが一つも見えないファイルが、中に配布元を抱えていたという意味です。ファイルを表面だけなぞる検査には引っかかりません。

6. ログをサーバーの外に別途残す — 痕跡を消そうとする意図が10回観測されました。一日のコマンド766個のうち10個なので比重は低いです。ただ、私たちが上のタイムラインを書けるのも、TTY録画152件と突き合わせられるのも、ログがサーバーの外に残っているからです。ログがその機械の中だけにあれば、消されたあとには消されたという事実すら残りません。

事実 そして5番に但し書きを一つ付けます。この日の主な永続化の経路だったSSH鍵の埋め込みは、外に出ていく接続を必要としません。 アウトバウンドを全部塞いでも、これは塞げません。

以前にもあったこと

推定 Miraiボットネット（2016年、ソース公開以降も派生が継続）。 テルネットの既定認証情報リストでログインしたあと、CPUの種類ごとに別々に作ったELFバイナリを順番に投げて、合うものを実行させるやり方です。この日ATK-10149CがARM・MIPS・Renesas SH・ARM EABI4の四種を一つのセッションで搬入した形と構造が同じです。ただし同じ系列だと断定はしません — ソースが公開されたあと派生版があまりに多いのです。（根拠: 公開されたソースコード、米国 US-CERT/CISA 警報 TA16-288A、米連邦裁判所の起訴・判決記録）

推定 TeamTNT のLinux・クラウド侵害キャンペーン（2020年〜）。 弱い認証でLinuxホストに入ったあと authorized_keys に自分の公開鍵を追加して、パスワードを変えようが変えまいがアクセスを維持した事例です。この日観測された鍵の埋め込み10回と、同じ公開鍵ファイルが9か所で保存されたパターンが、この手法と同じです。私たちのデータにはコマンド原文がないので、同じツール・同じ行為者だと言う根拠はありません。（根拠: 複数のセキュリティ企業の脅威インテリジェンスレポート）

私たちが分からないこと

この記事でもっとも重要な部分です。上に書いたことよりも、書けなかったことのほうが多いです。

• 順序が分かりません。 03:51のATK-477862に刻まれた五つの意図が「偵察 → ダウンロード → 実行権限 → 永続化」の順に起きたのか、データでは確認できません。それらの段階が観測されたということだけが事実です。
• 同じセッションは「ファイルダウンロード」と「ダウンロード後実行」の意図が刻まれたのに、保存されたファイルは0件です。ダウンロードが失敗したのか、成功したけれど保存されなかったのか、分類だけされて実際の搬入がなかったのか、区別できません。
• セッションごとの接続ポートがデータにありません。 ポートのカウント（2223=332 / 2222=302）とプロトコルのカウント（テルネット332 / SSH 302）が正確に一致するので、テルネット=2223、SSH=2222と合わせた推定です。
• この日もっとも多くコマンドを実行した三つのセッション（ATK-2CB5A2・ATK-48CBAA・ATK-5392AA）は、それぞれコマンド20個を実行してファイル11件を保存したのに、意図分類が丸ごと空です。 分類器が捕らえられなかったものと見られ、この三つのセッションが何をしたのかは、このブリーフでは分かりません。一日で最多のコマンドを実行したセッションが分類の空白に落ちている点は、別途確認が必要です。
• 1バイトの空ファイルが33回保存され、三つの別名が共通して持ち込みました。内容が何であり、なぜ繰り返されるのか分かりません。 本文の「三つのセッションが11件ずつ」は数字が合うということであって、データがその繋がりを書いてくれてはいません。
• 同じアドレス hxxp://5[.]182[.]210[.]174/ok から、サイズがまったく同じ1,608バイトなのにハッシュが異なるファイル二つが出てきました。何が違ったのかは、ファイルの内容を載せていないので確認できません。
• 公開鍵ファイルの指紋は同じですが、その鍵が誰のものなのか・同じ秘密鍵一つで統制されているのかは分かりません。 ハッシュが同じというのは「同じファイル」という意味であって、「同じ運営者」という意味ではありません。
• クライアント指紋はビルドの指紋であって人の指紋ではありません。 同じディストリビューションの既定のOpenSSH・libsshを使う無関係な利用者も同じ値を持ちます。45個のクラスタを45個の主体として読んではいけません。
• センサー02で一つの出発地が複数のサービスを合わせてなぞったのか計算できません。 サービス別のユニークIPの合計（232）が全体のユニークIP（247）より小さいので重なりを逆算できず、出発地別のサービス一覧もありません。0と書けば偽になるので、値なしとしておきました。
• センサー01と02のユニークIPの共通部分が分かりません。 二つのセンサーを合わせたユニーク出発地430か所は上限であり、実際の値はもっと小さい可能性があります。だから上の表でも二つのセンサーを合算しませんでした。
• センサー02のダウンロード4件がADBチャネルから出たものと見られますが、データがチャネルを明示していません。
• 背景統計として持っているCVE 6,580件・KEV 388件・ランサムウェア確認98件、CVE-2018-13379・CVE-2021-44228のような値は、KISAセキュリティ公示に基づく背景の文脈です。この日のハニーポット観測と結びつく根拠がないので、本文の事実としては使いませんでした。
• C-TASへの申告は転送レイヤーで成功したということだけが確認されます。 KISA側に実際に格納されたかは別途確認が必要です。
• 今回の対照は8/16〜8/29の原データ14日分だけで行いました。すでに発行した記事と重なるかは確認できていません。

そして以下は、そもそも確認する手段がないものです。推定しません。

• ASN・ISP — 関連するデータベースがありません。配布元 5[.]182[.]210[.]174 ・ 185[.]93[.]89[.]72 がどの事業者にあるのか、センサー02の上位出発地六か所が互いに同じネットワークなのか、言えません。
• 地理情報 — 同じくありません。そしてIPの地理情報は、そもそも帰属の根拠になりません。いかなる国家・企業・個人も、この日の攻撃者として名指ししません。
• VPN・Tor・クラウドかどうか — 判別する手段がありません。183か所・247か所のうち、どれが経由地でどれが原点なのか区別できません。
• VirusTotal — 連携していません。この日の検体10種に外部の多重エンジン判定を付けられません。検体の分類はMalwareBazaarのタグを使います。
• User-Agent — 二つの観測面ともHTTPではありません。01はSSH・テルネット、02はSMB・RDP・VNC・MSSQL・LDAP・ADBです。
• CVEとの結びつけ — SSH・テルネットの攻撃は特定の脆弱性を参照しない場合がほとんどで、センサー02もプロトコル交渉の段階なので同じです。

推定 まとめると、この日はこうです。セッション634件、ログイン試行251回、コマンド766個。初めて見るものは一つもありませんでした。 同じファイルが14日目、同じ二つのアドレスが2週目、同じツールの指紋が累計289か所目でした。

こういう日の報告書には、たいてい「特異事項なし」と書かれます。間違った言葉ではありません。ところが玄関前のチラシも毎日特異事項がありません。問題はチラシではなく、チラシを踏んで通り過ぎる間、誰も扉が施錠されているか確認しないというほうです。

踏んで通り過ぎることと扉を確認することは、互いに別のことです。今日サーバーを一台でもお持ちなら、authorized_keys ファイルを一度だけ開いてみればいいのです。数秒で済みます。

観測日は2026年8月29日（UTC）の一日です。出発地のIPはブリーフのマスキング形態（154.217.x.x）をそのまま写し、復元していません。配布アドレスは接続されないよう変形して書きました（hxxp://、[.]）。認証情報は互いに異なるIP3か所以上で観測された組み合わせ11種のみを引用し、単一の出所からのみ出た組み合わせ142種は個数だけ明かして値を載せていません。ASN・国籍・行為者の帰属は確認する手段がないので推定しません。