コマンドは18.5倍 — 意味が付いたのは33個に1つだった

マンションの郵便受けを数日ぶりに開けると、紙がひと束どさっと出てきます。

ほとんどはチラシです。チキン屋、引っ越し業者、ジム。同じ紙が二、三枚重なっていることもあります。その間に、本当に開けてみるべきものが何枚か混じっています。管理費の請求書、書留の通知書のようなものです。

ここで質問を一つ。郵便受けの紙が十八倍に増えていたら、それは一大事でしょうか?

答えは「何が十八倍になったのか」次第です。チラシだけが十八倍になったのなら、手首が少し痛むだけです。ところがその束の中に、誰かがうちの合鍵を差し込んでいったのなら、話はまったく変わります。

2026年9月1日、私たちのサーバーの郵便受けはまさにそんな状態でした。

まず聞き慣れない言葉を一つだけ解いておきます。ハニーポットとは、わざと隙のある造りにしてインターネットに出しておく囮のサーバーです。本物の業務はしません。誰が入ってきて何をするのかを丸ごと記録するために開けてある機械です。以下の数字はすべてそこに記録されたものです。

一日で18.5倍になったもの

事実 まず昨日と一昨日を並べて置きます。左が8月31日、右が9月1日です。

事実 表を上から下まで眺めると、倍率がまちまちです。コマンドは18.53倍になったのに、訪れた場所の数は1.28倍です。SSH側の接続は1.15倍でほぼそのままで、増えた分はすべてテルネットに集中しています。

ここで言葉を二つ解いておきます。SSHとテルネットは、どちらも遠くにあるコンピュータに接続してコマンドを出す方法です。テルネットのほうがずっと古い方式で、パスワードが暗号化されずにそのまま流れます。

事実 この日のセッションの81.9%がテルネットでした。2,945件という数字も、81.9%という比率も、私たちが確認できる8月16日〜9月1日の間でどちらも最高値です。直前の最高は8月26日の2,945件ではなく2,639件で、その日の比率は48.1%でした。8月23日は18.2%、8月30日は14.6%、8月31日は28.6%でした。

推定 発信元1か所あたりのセッションに換算するとこうなります。3,595 ÷ 414 = 8.68回。昨日は779 ÷ 324 = 2.40回でした。訪れた場所はあまり増えていないのに、1か所がはるかに何度も来ています。

事実 そしてここで、この記事が真っ先に明かすべきことを明かします。**テルネットがなぜ一日で13.2倍になったのか、私たちはデータで説明できません。**新しい集団が大挙して押し寄せたのなら発信元の数も一緒に跳ね上がっていたはずですが、1.28倍にとどまりました。少数の発信元が反復量を大きく増やした可能性はありますが、元データに発信元別のセッション数がないため確認する手段がありません。

ところがその18.5倍のうち、意味が付いたのは3%でした

事実 コマンド14,085個が実行されました。一日で割ると約6秒に1つです。

事実 ログインに成功したあと何をしたかは、コマンドの「意図」として分類して数えます。この日分類されたものは次のとおりです。

事実 合計422件はコマンド14,085個の**3.0%**です。**コマンド33個に1つだけ意味が付きました。**残りの13,663個はどの意図にも分類されませんでした。

事実 そしてその422件の中でも偏りがあります。上の二項目、「実行権限の付与」と「偵察」が351件で**83.2%**を占めます。

言葉をもう二つ解きます。**「実行権限の付与」は、ダウンロードしたファイルに「これは実行してよいプログラムだ」という印を付ける作業です。Linuxではファイルを受け取っただけでは動きません。印を別に付ける必要があります。「偵察」**はその前段階で、「ここはどんな機械なのか」を見て回る作業です。

推定 ですから郵便受けに戻るとこうなります。**どさっと出てきた紙は十八倍になりましたが、開けてみる価値があるのは三十三枚に一枚でした。**そしてその一枚たちの大部分も「見て回った」「実行の準備をした」といった準備動作でした。

事実 実際に何かが残る行為ははるかに少ないです。他人の鍵を掛けていったのが13回、立ち寄った記録を消そうとしたのが10回です。コマンド全体で見るとそれぞれ**0.09%と0.07%**です。

推定 ですからこの日の数字の読み方はこうです。**「コマンドが18倍増えた」を「攻撃行為が18倍増えた」に置き換えて書くと間違いです。**増えたものの大部分が何だったのかを私たちは知りません。私たちが数えられた実際の侵害行動は13回と10回です。

一日を時間順に

時間順に並べるとこうなります。行が多いですが、全部読まなくても大丈夫です。実際の時刻が記録されている五行だけ見ていただければ十分です — かかった時間とコマンド数がどれほど互いに似ているか、そしてとりわけ一行だけがどれほど短いかが、この日の核心です。

1. 2026-09-01 (一日全体)
   事実 ハニーポット01 セッション3,595件・固有発信元414か所・ログイン試行3,486回・コマンド14,085個・TTY録画2,980件。ポート別では2223(テルネット)2,945・2222(SSH)641である
2. 2026-09-01 (前日比)
   事実 8/31ブリーフの01集計はセッション779・固有IP324・ログイン試行440・コマンド760・2222が556だった。今日はセッション4.62倍・ログイン試行7.92倍・コマンド18.53倍だが、固有発信元は1.28倍、SSHセッションは1.15倍にとどまる。増加分はテルネット(223→2,945、13.2倍)に集中している
3. 2026-09-01T00:28:45Z ~ 00:29:52Z
   事実 ATK-D3BC49(220.132.x.x、テルネット)ログイン成功。67秒間にコマンド31個、意図3種(ファイルのダウンロード・ダウンロード後に実行・実行権限の付与)、ダウンロード1件、TTY録画あり。テルネットのため接続プログラムの指紋は空文字列である
4. 2026-09-01T00:35:28Z ~ 00:36:29Z
   事実 ATK-20A6CD(147.139.x.x、テルネット)ログイン成功。61秒間にコマンド17個、意図5種(偵察 — システム・ファイルのダウンロード・ダウンロード後に実行・実行権限の付与・永続化 — SSH鍵の設置)。意図は5段階すべてが記録されたのにダウンロード数は0である
5. 2026-09-01T02:41:25Z ~ 02:42:32Z
   事実 ATK-80C958(125.228.x.x、テルネット)ログイン成功。67秒・コマンド31個・意図3種・ダウンロード1件で、二時間前のATK-D3BC49とコマンド数・意図の組み合わせ・継続時間(67秒)がすべて一致する
6. 2026-09-01T06:39:24Z ~ 06:39:27Z
   事実 ATK-CA5936(130.12.x.x、SSH)ログイン成功。3.8秒・コマンド1個なのに意図5種・ダウンロード2件(399バイトのOpenSSH秘密鍵 43728fbf… + 54バイトのASCII 00b6f15c…)、指紋16443846…4397 / SSH-2.0-Go。完結性19で今日の1位である
7. 2026-09-01T09:50:08Z ~ 09:51:10Z
   事実 ATK-8120D7(34.150.x.x、テルネット)ログイン成功。62秒・コマンド17個・意図5種・ダウンロード0件で、九時間前のATK-20A6CDとコマンド数・意図の組み合わせが一致する
8. 2026-09-01 (意図集計)
   事実 command_intentsの合計は422件である — 実行権限の付与207・偵察(システム)144・ダウンロード後に実行24・ファイルのダウンロード24・永続化(SSH鍵の設置)13・痕跡の削除10。コマンド14,085個のうち意図に分類されたものは3.0%で、その422件の83.2%(351件)が前の二項目である
9. 2026-09-01 (検体)
   事実 保存された検体は7種1,175バイトがすべてである(389+306+9+9+9+399+54)。ELF実行バイナリは0件である。配送回数の合計は28回である
10. 2026-09-01 (指紋)
    事実 SSHクライアント指紋9種が記録された。1位のacaa53e0a7d7ac7d1255103f37901306(SSH-2.0-OpenSSH_7.4)は今日233か所・累計758か所で、今日の01の固有IP414か所の56.3%である。アーカイブの記録値は8/25が125か所・8/27が206か所・8/31が113か所だった
11. 2026-09-01 (ハニーポット02)
    事実 接触54,779件・固有発信元315か所。VNC 52,441(95.7%)・RDP 2,030・SMB 225・MSSQL 50・LDAP 11であり、ADBセッション22件、保存された検体0件である
12. 2026-09-01 (ハニーポット02・前日比)
    事実 8/31ブリーフのVNCは53,310件・固有IP46か所だった。今日は52,441件・78か所で接触量は1.6%減ったのに発信元は69.6%増えた — 発信元1か所あたり1,159回から672回に下がった
13. 2026-09-01 (ハニーポット02・プロトコル語彙)
    事実 VNCネゴシエーションで相手が提案したバージョンは003.003が52,078回・003.008が240回である(記録された値の99.54%が低いほう)。8/31の003.008は34回だったので今日は7.06倍である。SMBダイアレクト提案334件はすべてSMB1系で、「SMB 2.???」提案は0件である — 8/26・8/31にはそれぞれ2件あった。「Samba」ダイアレクト文字列1件はアーカイブ16日分になかった値である
14. 2026-09-01 (ハニーポット02・RDPクッキー)
    事実 RDPクッキーはhello 1,473・<ip> 426・(empty) 3・Test 2・Administr 2・zgrab 1である。helloは8/26の604から2.4倍になった

事実 実際の時刻が記録されている五行をもう一度見てください。テルネット4件が67秒・61秒・67秒・62秒です。そしてこの4件はきれいに二組に分かれます。コマンド31個・意図3種・ダウンロード1件のものが2件(0時28分、2時41分)、コマンド17個・意図5種・ダウンロード0件のものが2件(0時35分、9時50分)です。各組はかかった時間までほぼ同じです。

推定 人が座ってやる仕事ではありません。異なる発信元が数時間の間隔で、まったく同じ数のコマンドをまったく同じ順序で打つ確率は事実上ありません。あらかじめ用意された同じスクリプトが再生されたものと読みます。ただし4件ともテルネットなので、接続プログラムの指紋そのものが存在しません。「同じツールだった」を指紋で確認する方法は、この日のテルネットセッションにはありません。

事実 そしてとりわけ短い行が一つあります。**6時39分24秒から27秒まで、3.8秒。**コマンドはたった1個です。ところがこの1件で意図は5種が記録され、ファイルは2個がやり取りされました。この日の完結性スコア1位(19点)です。

推定 チラシの束にたとえると、いちばん薄い封筒がいちばん重かったのです。62秒の4件より3.8秒の1件のほうが多くのものを残しました。

このパスワードをお使いですか

事実 この日のログイン試行は3,486回です。一日をまるごと割ると約25秒に1回、誰かがIDとパスワードを入れてみたことになります。昨日は3分16秒に1回でした。

事実 以下はそのうち異なるIP3か所以上で観測された組み合わせだけを抜き出した20種です。回数の欄は、ブリーフに回数まで書かれているものだけ埋めました。

事実 下から二番目の行の\x00は、目に見えない文字を文字で書き表すときに使う表記です。人が手で打てる形ではありません。

推定 1位と2位が目に留まります。root/xc3511が218回、root/vizxvが208回。どちらも特定メーカーの機器に工場で付けられた初期パスワード系です。人が思いついて打つ文字列ではありません。リストを持ってきたプログラムが順番に投げたものと読みます。上の三つの組み合わせだけ合わせても620回です。

事実 そしてこの日観測されたID・パスワードの組み合わせは全部で337個でした。上の表に載せたのは20個です。残りの317個は個数だけ数えて値は載せていません。

郵便受けの話に戻ります。郵便受けに**他人の名前が書かれた手紙が誤って入っていたら、私たちはそれを開けません。**何通あるかだけ数えて管理事務所に渡します。

推定 317個がまさにそれです。一、二か所からしか出なかった組み合わせは、どこかで実際に流出した本物の誰かのアカウントかもしれません。ここに書き写せば、その人に二次被害を与えることになります。だから個数だけ数えます。ちなみに317個は8月29日の142個と比べると2.2倍です。

推定 ところがここに、この日いちばん奇妙な比率が隠れています。**公開した20個は組み合わせ数では5.9%なのに、試行回数では1,916回で全体3,486回の55.0%です。**組み合わせの二十個ほどが試行の半分以上を生み出しています。誰のものでもない初期値の辞書が、このサーバーを叩いた力の半分だったという意味です。

事実 表の中に異なる二つの形が混ざっていることも指摘しておきます。root/xc3511は4か所が218回を投げました。1か所あたり54.5回です。逆に345gs5662d34/345gs5662d34は9か所が9回、1か所あたりちょうど1回です。この違いは後の「では何をすべきか」で再び使います。

置いていったものは1,175バイトがすべてです

事実 この日サーバーに実際に残ったファイルは7種、合計1,175バイトです。短いテキストメッセージ六、七行ほどの量です。実行バイナリ、つまり本当に動く悪性プログラムのファイルは0種です。

書き写す値です。値を押すとコピーされます — 読むためにあるのではなく、ブロックリストに入れるためにある値です。アドレスはわざと壊して書いてあります(hxxp://、[.])。そのままコピーして貼り付けても接続されません。

事実 八行のうちアドレスが書かれている行は一つだけです。残りはすべて「取得元アドレスは未記録」です。ブロックリストに載せるアドレスが一つしか残らなかったという意味です。

ここで二つ解いておきます。

指紋(sha256) は、ファイル全体を計算して取り出した64桁の値です。ファイルの中の文字が一つ変わるだけで値が丸ごと変わります。だから二つのファイルが同じか違うかをこの値で判定します。

公開鍵はこうです。Linuxサーバーにはauthorized_keys(許可された鍵の一覧)というファイルがあります。ここに公開鍵を一行書いておくと、その対になる鍵を持つ人はパスワードをまったく聞かれずにそのまま入ってきます。簡単に言えば、パスワードなしで入れる合鍵を郵便受けに一つ入れておくということです。そして重要なのは、パスワードを変えてもその鍵はそのまま残っているという点です。

推定 いちばん上の行の389バイトのものがその鍵です。守る側には厄介な代物です。**取得元アドレスがないので塞ぐアドレスがありません。**サーバーが外に出ていく通信を全部遮断してもこれは塞げません。扉が開いたその瞬間に、サーバーの中で完結する出来事だからです。

国際的な分類表に対応させると

攻撃者が使った手口には、世界中が共通で使う番号が付いています。MITRE ATT&CKというリストです。以下でIDを押すと原文の説明に飛びます — 私たちの言葉を信じずに直接確認してみてください、という意味で付けてあります。

• T1110.001Brute Force: Password Guessing — ログイン試行3,486回・認証情報の組み合わせ337個(公開20 / 非公開317)推定
• T1078.001Valid Accounts: Default Accounts — admin/adminが19個のIP・160回、root/123456が7個のIP・117回など工場初期値系推定
• T1082System Information Discovery — command_intentsの「偵察 — システム」144回推定
• T1105Ingress Tool Transfer — 「ファイルのダウンロード」24回、306バイトのシェルスクリプトがhxxp://185[.]93[.]89[.]72/wgetから別名7か所に配送推定
• T1222.002File and Directory Permissions Modification: Linux — 「実行権限の付与」207回で今日の最多の意図推定
• T1098.004Account Manipulation: SSH Authorized Keys — 「永続化 — SSH鍵の設置」13回、389バイトの公開鍵が別名10か所で観測推定
• T1070Indicator Removal — 「痕跡の削除」10回。コマンド14,085個に対して0.07%である推定
• T1046Network Service Discovery — ハニーポット02でVNC・RDP・SMB・MSSQL・LDAPの5サービスへの接触54,779件。接触とプロトコルネゴシエーションまでしか観測されていない推定
• T1021.005Remote Services: VNC — 接触52,441件だが低対話型センサーのため認証成功もセッション確立も観測されなかった。バージョンネゴシエーションの提案値までがすべてである推定

事実 九行のうち最も大きい数字はいちばん上の行、ログイン試行3,486回です。そして最も小さい数字は六行目、鍵の設置13回です。この記事が最初から話してきた隔たりがここにもそのまま出ています。

推定 九行すべてが「推定」バッジです。私たちが見たのはコマンドの意図分類と個数であって、攻撃者が自ら明かした目的ではないからです。

昨日一日全体

事実 センサー01(高対話型ハニーポット)基準です。

事実 表に食い違う値が一つあります。ポート別の合計3,586(2,945 + 641)がセッション3,595より9少ないです。ポートが記録されなかったセッションがあるという意味に見えますが、理由は元データにありません。

事実 隣に立ててある二台目のサーバー(センサー02)の数字も書き写しておきます。こちらは低対話型なので**ログイン成功・コマンド・認証情報がそもそも存在しません。**数えるのは「どの扉を何回叩いたか」だけです。

事実 全体では接触54,779件、固有発信元315か所です。一日で割ると約1.6秒に1回、何かがこのサーバーを叩いていました。上の六行の合計が総計と正確に一致します。

事実 VNC側で昨日と変わったことがあります。昨日は53,310件を46か所が作りました(1か所あたり1,159回)。この日は52,441件を78か所が作りました(1か所あたり672回)。叩いた量は1.6%減ったのに、叩いた場所は69.6%増えました。

推定 同じ物量をより多くの場所が分けて打ったという意味に読めます。ただし元データが発信元とサービスを結びつけてくれないため、それ以上は言いません。

事実 プロトコルが教えてくれたこともあります。プロトコル語彙とは、接続する側が「私はこのバージョンで話します」と先に提案する値です。

• VNCで相手が提案したバージョンは003.003が52,078回、003.008が240回です。記録された値の99.54%が低いほうです。ただし003.008は昨日の34回から7.06倍になりました。
• SMBダイアレクト提案334件はすべてSMB1系で、SMB 2.???提案は0件です。8月26日と31日にはそれぞれ2件ありました。Sambaというダイアレクト文字列1件は、16日分の記録になかった値です。
• RDP接続クッキーはhelloが1,473回、<ip>が426回、空の値が3回、Testが2回、Administrが2回、zgrabが1回です。helloは8月26日の604回から2.4倍になりました。

推定 helloと<ip>は人が打ったユーザー名ではなく、ツールが自動で埋めたプレースホルダーと読めます。ただしどのツールなのかはこの値では特定されません。

233か所が同じ指紋ですが、同じ集団ではありません

事実 SSHで入ってくる接続は、プログラムごとに最初の挨拶が少しずつ違います。その挨拶を要約した値をクライアント指紋と呼びます。どのプログラムで接続したかを指し示す値です。

事実 この日の指紋は9種が一覧に載りました。1位はacaa53e0a7d7ac7d1255103f37901306(SSH-2.0-OpenSSH_7.4)で、この日233か所、累計758か所です。この日の01の全発信元414か所の**56.3%**です。記録された値では8月25日が125か所、8月27日が206か所、8月31日が113か所でした。

推定 数字だけ見ると「233か所が一つの集団だ」と書きたくなります。書きません。この値は広く使われているLinuxディストリビューションにそのまま入っている標準のOpenSSH 7.4クライアントの文字列です。互いに何の関係もない人たちが同じ値を持つのが普通です。

事実 ですから言えるのは**「233か所が同じツールを使っている」までです。「233か所が一つの組織だ」**は、このデータでは成り立ちません。ちなみにこの日、この指紋には「検体を入れていった」という表示は付いていません。

では何をすべきか

推定 ブリーフが整理した「この統制がなかったら」の六項目を、この日のデータが最も強く裏づける順に並べます。

1. 管理ポートをインターネットにそのまま開けておかない — この日の第1位です。何の宣伝もしていないサーバーに一日で414か所が接触し、隣のサーバーにはRDP 161か所・VNC 78か所・SMB 43か所・MSSQL 14か所・LDAP 7か所が付きました。二台のサーバーを合わせると最大729か所です(重なりが分からないため上限です)。VNCの一ポットだけで52,441件、一日平均毎秒0.6回が入ってきました。リモート接続の窓口をVPNや許可IPの後ろに移せば、**この試行量の全体が認証段階に届く前に消えます。**露出そのものが試行量を決めます。

2. 初期アカウントとありふれたパスワードをなくす — この日完結したセッション5件はすべてログインに成功しました。そして先の表の20種だけで試行1,916回、全体の55.0%が説明されます。すべて工場初期値か四桁の数字です。成功したあとにかかった時間を見てください。62〜67秒でコマンド17〜31個、一件は3.8秒です。人が気づく時間がありません。

3. パスワードで開ける扉を鍵で開ける扉に変える — この日のセッションの81.9%がテルネットです。テルネットには鍵認証という選択肢そのものがなく、認証情報が暗号化されないまま流れます。ですからテルネット側ですべきことは「鍵を使おう」ではなく**「そのサービスを止めよう」**です。そして逆方向もあります。パスワードで一度入ったあとに攻撃者所有の公開鍵を設置されると、**その後はパスワードを変えてもアクセスが維持されます。**この日その公開鍵を残した発信元が10か所です。

4. サーバーから外に出ていく接続を制限する — 「ファイルのダウンロード」24回と「ダウンロード後に実行」24回が正確に同じ数字です。ダウンロードされたものは例外なく実行段階につながったという意味です。外に出る通信を既定で塞ぎ、必要な宛先だけ許可していれば**ダウンロード段階で断ち切れます。**ただしこの日は306バイトのローダースクリプトまでしか回収されず、そのローダーが呼ぶ次のファイルは一件も捕まっていません。1段階は見えて、2段階は見えませんでした。

5. 「何回間違えたらロック」だけに頼らない — 先の表に異なる二つの形があると言いました。root/xc3511は4か所が218回、1か所あたり54.5回です。こういう反復型は回数基準の遮断が**確実に効きます。ところが345gs5662d34は9か所がそれぞれちょうど1回、root/3245gs5662d34は5か所がそれぞれちょうど1回です。この分散型は回数の閾値にそもそも到達しません。**ですからこの項目は「捨てろ」ではなく「これだけでは足りない」です。遮断ログが増えた分だけ安全になったと読んではいけません。

6. ログをサーバーの外に別に残す — 痕跡を消そうとする意図がこの日10回観測されました。全コマンドの0.07%と小さい数字で、8月25日の70回より大きく低いです。それでも観測はされました。**私たちがこの10件を数えられる理由は、ログがハニーポットの外に別に蓄積されているからです。**本番サーバーであれば、ログを別のシステムに即時送出してこそ同じものが見られます。

事実 そして4番に但し書きを付けます。**SSH鍵の設置は外に出ていく接続を必要としません。**外に出る通信を全部塞いでもこれは塞げません。サーバーをお使いでしたら、~/.ssh/authorized_keysファイルを一度開いてみてください。**自分が入れた覚えのない行があれば、それが他人の鍵です。**パスワードを変えることでは消えません。

以前にもあったこと

推定 Miraiボットネット(2016年)。テルネットと機器の工場初期アカウント辞書を利用してIoT機器を大量に感染させた事例です。この日の観測の二つの軸と形が同じです。セッションの81.9%がテルネットであり、試行最多のパスワード二つ(xc3511が218回、vizxvが208回)が特定メーカーの機器の工場初期値系です。完結したセッションの行動順序も、偵察 → ダウンロード → 実行権限の付与 → 永続化と同じ型です。ただし**この日の観測をMiraiに帰属させるものではありません。**アプローチが同じ系統だという対照です。感染台数や被害額といった数値は引用しません。(根拠:公開されたソースコード、米国US-CERT/CISAの警報、複数ベンダーの公開インシデント分析レポート)

推定 **WannaCry(2017年)。**SMBv1の脆弱性(MS17-010 / CVE-2017-0144)を利用して拡散した事例です。**背景の文脈としてのみ使います。**この日のハニーポット02のSMBダイアレクト提案334件はすべてSMB1系(NT LM 0.12、LANMAN1.0、LM1.2X002、PC NETWORK PROGRAM 1.0、Windows for Workgroups 3.1など)で、SMB 2.???提案は0件でした。話しかける語彙そのものが旧型に合わせられているという意味です。SMBv1が大規模インシデントの舞台だったという事実は公開資料で検証できますが、この日の観測はダイアレクトネゴシエーション段階までであり、脆弱性攻撃の試みが確認されたわけではありません。(根拠:マイクロソフトのセキュリティ情報MS17-010、CVE、公開インシデント分析レポート)

私たちが分からないこと

この記事で最も重要な部分です。上に書いたことよりも書けなかったことのほうが多いです。

• **[核心] テルネットが一日で13.2倍に跳ねた理由をデータで説明できません。**固有発信元は1.28倍(324→414)しか増えていないため、「新しい攻撃者が大挙して入ってきた」では説明できません。少数の発信元が反復量を大きく増やした可能性はありますが、元データに01の発信元別セッション数がないため確認できません。
• [核心] コマンド14,085個のうち意図に分類されたものは422件(3.0%)だけです。残りの13,663個が分類規則に引っかからなかったものなのか、意図のない反復・打ち間違い・プロンプトのノイズなのか、元データが明らかにしていません。「コマンドが18倍増えた」を「攻撃行為が18倍増えた」と読んではいけません — 実際の永続化確保の試みは13回、痕跡の削除は10回です。
• TTY録画数が**2,980と216という二つの値で異なって書かれています。**二つの値の関係(生成に対する保管なのか、別の基準なのか)についての説明がありません。
• ポート別の合計3,586(2,945 + 641)がセッション3,595より9少ないです。ポートが記録されなかったセッションがあるという意味に見えますが、理由はありません。
• 9バイトの検体4af5a5c9…は出所が一か所なのに回数の欄が7です。他の項目は二つの値が一致します。一つの発信元が7回残したものなのか集計の誤りなのか判定できないため、本文では出所の数だけ書き、回数は解釈しませんでした。
• ATK-20A6CDとATK-8120D7は意図に「ファイルのダウンロード」と「ダウンロード後に実行」の両方があるのにダウンロード数が0です。ダウンロードを試みたが保存されなかったのか、意図分類と保存集計の基準が違うのか、区別されません。
• **399バイトのOpenSSH秘密鍵(43728fbf…)が設置していったものなのか、サーバーにあったものを持ち出そうとしたものなのか区別できません。**ダウンロード一覧にあるのにアドレスの欄は空です。8月19日のブリーフが残したこの未解決の項目が、七度目の観測となるこの日もそのままです。
• 389バイトの公開鍵のハッシュが同じだということは、**「同じファイル」という意味であって「同じ運用者」という意味ではありません。**この日このファイルを残した別名10か所が一つの主体なのか、同じツールを使う別々の主体なのか判定できません。対応する秘密鍵を誰が何人握っているのかもデータにありません。
• 1位の指紋acaa53e0…(SSH-2.0-OpenSSH_7.4)の233か所を一つの集合として読んではいけません。広く使われているディストリビューションの標準クライアント文字列なので、互いに無関係な多数が同じ値を持つのが普通です。また指紋クラスタの総数は40個なのに一覧には9種しか載っておらず、残り31個のクラスタの規模が分かりません。
• ハニーポット02のADBセッションは22件なのに関連するオブジェクトがなく、ダウンロードは空の一覧、確保した検体は0件です。ADB接触22件で何が投入されたのか(あるいは投入自体がなかったのか)を判定できません。「投入がなかった」とは書きません。
• VNCネゴシエーションのバージョン003.003が99.54%だというのは、「相手が提案した値」の分布です。私たちのハニーポットが何を先に提示したかによってこの分布が決まりうるため、相手のツールの性質をこの値で断定しません。003.008が34→240に増えたことも、ツールが変わったのか私たち側の応答が変わったのか区別できません。
• ハニーポット02で値が食い違う地点が二か所あり、その差が両方ともちょうど123です(VNC 52,441に対しバージョン提案の合計52,318、RDP 2,030に対しクッキーの合計1,907)。**同じ数だという点は解釈せず、事実としてのみ記録します。**理由は元データにありません。
• この日の02は収集失敗ではありません。ただし**二つのセンサーの固有IPの共通部分が分からないため、合算した固有発信元は上限729か所としか言えません。**サービス別の固有IPの合計(78+161+43+14+7=303)が全体の315より小さいため、一つの発信元が複数のサービスをまとめて探ったのかどうかも逆算できません。8月26日以降7日連続で同じ制約です。
• 別途確保された**Discord Webhookのアドレスが、この日のセッション・検体のどれと結びつくのか分かりません。**この日のどのダウンロードのアドレス欄にも現れなかったため、別経路で確保された指標と見られ、この日の事案と結びつけて記述しませんでした。Webhookのトークン文字列はそれ自体が悪用可能な値であるため本文に書き写しません。8月20日以降、複数のブリーフが同じ理由で除外してきました。
• 展開しないと現れない拡散指標12件(31[.]77[.]227[.]121/bins/*系)には日付の表記がなく、この日このパスからのダウンロードは0件です。この日観測された唯一のダウンロードホストは別の場所(185[.]93[.]89[.]72)です。同じキャンペーンなのか確認する手段がないため、背景の材料としてのみ置いておきました。
• 背景統計として持っているCVE 6,607件・CISA KEV 390件・ランサムウェア確認98件は、KISAセキュリティ公示に基づく背景の文脈です。この日のハニーポット観測と結びついたものではなく、この日のSSH・テルネット攻撃でCVEの参照は観測されませんでした。
• C-TASへの通報は、**転送層で成功したというところまでしか確認できません。**KISA側に実際に取り込まれたかどうかは別途確認が必要で、この日の通報件数・処理状況はデータにありません。
• 別名(ATK-XXXXXX)は記事の中で同じマスキングされた発信元を指す標識にすぎず、身元ではありません。
• 最後に、**ハニーポットは扉を開けてやるように作られたサーバーです。ログイン成功は「この認証情報が実際の本番サーバーでも通用する」という意味ではなく、「この認証情報が試されている」**という意味です。

そして以下はそもそも確認する手段がないものです。推定しません。

• ASN・ISP — 関連するデータベースがありません。どの通信事業者・どのホスティング帯域なのか確認できません。
• 地理情報 — 同様にありません。そしてIPの地理情報はそもそも帰属の根拠になりません。**いかなる国家・企業・個人もこの日の攻撃者として名指ししません。**マスキングされた箇所から何も推論しません。
• VPN・Tor・クラウドかどうか — 判別する手段がありません。
• VirusTotal — 連携されていません。この日確保した検体7種にマルウェアの系統名を付けることはできません。検体の分類はMalwareBazaarのタグを使います。
• User-Agent — 二つの観測面ともHTTPではありません。01はSSH・テルネット、02はSMB・RDP・VNC・MSSQL・LDAP・ADBです。上で引用したRDPクッキー・SMBダイアレクト・VNCバージョンはUser-Agentの代替物ではなく、プロトコルが定めているネゴシエーション語彙です。
• CVEとの結びつき — SSH・テルネット攻撃は大半が特定の脆弱性を参照せずに認証情報を使います。02もプロトコルネゴシエーション段階なので同様です。

推定 まとめると、この日はこうです。セッション3,595件、ログイン試行3,486回、コマンド14,085個。昨日と比べるとコマンドが18.53倍です。ところがその中で意味が付いたものは422個、33個に1つでした。そして実際に何かが残った行為は鍵13回、痕跡消し10回でした。

郵便受けに戻ります。どさっと出てきた紙が十八倍になった日、私たちがすべきことは紙の重さを量ることではありません。その中に合鍵が挟まっていないか確認することです。この日は十三回挟まっていました。その鍵のファイルは8月16日から十七日目も同じハッシュで出てきており、入れていく発信元だけが毎日変わります。

ですからこの日のデータが指し示しているのは、昨日押し寄せたアドレスをリストに書き留めておけという方向ではありません。そのリストは一日で古びます。サーバーが一台でもおありなら、今日は二つだけやってみてください。リモート接続の窓口がインターネットにそのまま開いていないか確認すること、そして~/.ssh/authorized_keysを一度開いてみること。後のほうは数秒で済みます。

観測日は2026年9月1日(UTC)の一日です。発信元IPはブリーフのマスキング形式(220.132.x.x、147.139.x.x、125.228.x.x、130.12.x.x、34.150.x.x)をそのまま書き写し、復元していません。拡散アドレスは接続されないように変形して書きました(hxxp://、[.])。認証情報は異なるIP3か所以上で観測された組み合わせ20種のみを引用し、その基準を超えなかった組み合わせ317種は個数だけ明かして値を載せていません — 一、二か所からしか出なかった組み合わせは実際の流出アカウントかもしれないからです。ASN・国籍・行為者の帰属は確認する手段がないため推定しません。