初めて見た物はたった一つ — 正門から来たのではなかった

学校の正門は毎朝混み合います。何百人もがその前を通り過ぎます。警備員の方もそこにいて、防犯カメラもそこに付いています。学校で最もよく見える門です。

ところが、学校の中へ物が入ってくる門はそこではありません。

給食の食材、新しい机、プリンターのトナー。こういうものはトラックが裏門から積んで入ってきます。裏門は1日に何度も開きません。行き来する人もほとんどいません。だから誰も見ていません。

ここで質問を一つ。今日、学校の中に初めて見る物が一つ入ってきたとしたら、それはどの門から入ってきたのでしょうか。

2026年9月2日、私たちのサーバーがまさにその形でした。ドアノブは一日中4万回以上回され、実際に中へ入ってきた新しい物は一つでした。

まず耳慣れない言葉を一つだけほどいておきます。ハニーポットは、わざと隙のある作りにしてインターネット上に置いた囮のサーバーです。本来の業務はしません。誰が入ってきて何をするのかを丸ごと記録するために開けておいた機械です。以下の数字はすべてそこに刻まれたものです。

私たちの学校には門が2種類あります

事実 私たちが運用しているハニーポットは2台です。性格がまったく異なります。

01号は、人が実際に入ってきてコマンドを打てるサーバーです。門が二つ付いています。一つはSSH、もう一つはTelnetです。どちらも遠くのコンピューターに接続してコマンドを送る方法です。Telnetのほうがずっと古い方式で、パスワードが暗号化されないまま流れていきます。

02号はドアノブだけを付けておいたサーバーです。誰かが叩けば「ここに門がありますよ」と答えるだけです。中へは通しません。ですからこちら側にはログイン成功も、コマンドも、パスワードの記録もそもそも存在しません。 ここで「接触」という言葉は、門を叩いた回数であって開いた回数ではありません。

事実 この日、2台のサーバーが受け取った数字はこうです。01号は接続931件、02号は接触44,140件です。

推定 44,140件を1日で割るとおよそ2秒に1回です。何の宣伝もしていない機械なのにそうなります。

正門のほう — 5人が67秒ずつ

事実 01号で実際に門が開いたのは5回です。5回とも Telnet でした。

時間順に並べるとこうなります。3列目の秒単位に注目してください。 5行が何時間ずつ離れているのに、滞在した時間と打ったコマンドの数はどうなっているか — それがこの日の出発点です。

1. 2026-09-02T00:14:33Z
   事実 ATK-A16118(Telnet)がログインに成功。67.0秒の間にコマンド31個、ダウンロード1件。TTY録画あり。(KST 09:14)
2. 2026-09-02T05:48:12Z
   事実 ATK-862174(Telnet)ログイン成功。69.6秒、コマンド31個、ダウンロード1件。前のセッションと5時間34分の間隔
3. 2026-09-02T08:30:49Z
   事実 ATK-E78846(Telnet)ログイン成功。68.0秒、コマンド31個、ダウンロード1件
4. 2026-09-02T11:08:49Z
   事実 ATK-33BCCE(Telnet)ログイン成功。67.8秒、コマンド31個、ダウンロード1件
5. 2026-09-02T11:19:53Z
   事実 ATK-DC5B7B(Telnet)ログイン成功。67.5秒、コマンド31個、ダウンロード1件。直前のセッションと11分4秒の間隔
6. 2026-09-02 (時刻不明)
   事実 5セッションすべてが同じハッシュ a6296a79…(306バイトのシェルスクリプト、hxxp://185[.]93[.]89[.]72/wget)を取得していった。同じファイルを取得した送信元は本日計6か所(6番目は ATK-B07E97)
7. 2026-09-02 (時刻不明)
   事実 389バイトの OpenSSH RSA 公開鍵(a8460f44…)が11回、それぞれ異なる送信元エイリアスから観測。同じ日の「永続化 — SSH鍵の埋め込み」意図も11回で数が一致する
8. 2026-09-02 (時刻不明)
   事実 02(ハニーポット02)で733,706バイトの検体1件を確保(deacb991…、ATK-89DA24)。02 の本日の samples_captured は1件である
9. 2026-09-02 (1日集計)
   事実 01 セッション931件 ・ ユニークIP437か所 ・ コマンド887個。昨日(09-01)のコマンド14,085個から 1/15.9 に減り、ユニークIPは 414 → 437 とむしろ増えた。1か所あたりセッション2.13回はアーカイブ18日中の最低である
10. 2026-09-02 (1日集計)
    事実 02 接触44,140件のうち42,905件(97.2%)が VNC 5900 ポート一つで、それを生んだ送信元は62か所だけである

事実 上の5行をもう一度見てください。67.0秒 ・ 69.6秒 ・ 68.0秒 ・ 67.8秒 ・ 67.5秒。 そしてコマンドは5回とも31個、持ち帰ったファイルは5回とも1個です。

推定 入ってきた時刻はばらばらです。1回目と2回目の間は5時間34分、4回目と5回目の間は11分4秒です。来る時間は揃えていないのに、やることは秒単位で揃っています。 人が座ってやる仕事ではありません。あらかじめ組んでおいた同じ手順が再生されたものと読みます。

推定 5回を全部合わせても5分40秒です。正門が1日に開いた総時間がそれだけです。そしてその5分40秒の間に155回のコマンドが通り過ぎました。

事実 ここでこの日もっとも食い違って見える数字を一つ挙げます。SSHの門には577回、Telnetの門には349回の接続がありました。 SSH側が1.65倍多いです。ところが実際に開いた5回はすべて Telnet でした。

推定 多く叩かれた門と実際に開いた門が違います。この日のこの食い違いは、後でもう一度出てきます。

5人が持ち出したのは17日目の同じ物です

事実 5セッションが取得したファイルは306バイトのシェルスクリプト一つです。テキストメッセージ2行ほどの大きさです。

ここで言葉を二つほどいておきます。

ハッシュ(sha256) は、ファイル全体を計算して取り出した64桁の値です。ファイルの中の文字が一つ違うだけで値が丸ごと変わります。だから「このファイルとあのファイルは同じものか」をこの値で判定します。

シェルスクリプトは、「これをやって、あれをやって」というコマンドを順に書き留めたメモ用紙のようなファイルです。306バイトならごく短いものです。

推定 サイズと種類から見ると、これは武器そのものではなく武器を取ってくる使い走りです。よくローダーと呼ばれます。ただしこれらのセッションが実際にどんなコマンドを打ったのか原文がないため、スクリプトの中で何が起きているのかは確認できていません。

事実 そしてこのファイルのハッシュ a6296a79… は、8月17日から9月1日までの16日分の記録すべてにあります。この日まで17日連続です。 取得元アドレス hxxp://185[.]93[.]89[.]72/wget もそのままです。

事実 この日もっとも多く配達されたファイルは別にあります。389バイトの OpenSSH RSA 公開鍵です。この日11回、それぞれ異なる送信元エイリアスから観測されました。

公開鍵が何かをほどいておきます。Linux サーバーには authorized_keys(許可された鍵の一覧)というファイルがあります。ここに公開鍵を1行書いておくと、その対を持つ人はパスワードをまったく聞かれずにそのまま入れます。簡単に言えば、パスワードなしで開く合鍵を玄関に一つ掛けておくということです。そして重要なのは、パスワードを変えてもその鍵はそのまま残っているという点です。

事実 この鍵ファイルのハッシュ a8460f44… は、8月16日から9月1日までの17日分すべてにあります。この日まで18日連続です。

事実 同じ日に「永続化 — SSH鍵の埋め込み」に分類されたコマンドも11回です。ファイル観測11回と数がぴったり一致します。

推定 ですから01号サーバー側の結論は短いです。この日、01号には初めて見るものが一つもありませんでした。 ファイルも、アドレスも、セッションの形もすべて以前に見たものです。

ところが初めて見る物が一つありました

事実 02号サーバーでファイルが1件確保されました。サイズは733,706バイトです。

推定 数字だけでは感覚がつかめません。比べるものを付けます。さきほど出てきた306バイトの使い走りを2,398個つなぎ合わせた大きさです。およそ717キロバイト、スマートフォンの写真1枚ほどの図体です。

事実 そしてこのファイルのハッシュ deacb991… は、私たちが持っている17日分の記録のどこにもありません。この日唯一の新規検体です。

事実 02号サーバーがこの日確保したファイルはまさにこの1個だけです。

推定 ではこの物はどの門から入ってきたのでしょうか。02号でファイルが実際に運び込まれうる通路はADB一つだけです。ADBは「Android Debug Bridge」の略で、Android 端末をコンピューターに接続してアプリを入れたり出したりする開発者向けの通路です。残りの門はドアノブだけが付いていてファイルを受け取りません。ですから ADB から入ってきたものと見ます。ただし元データがこのダウンロードを ADB に明示的に結び付けてくれてはいません。 これは私たちが構造を見てつなぎ合わせたものです。

事実 そしてここがこの日の要点です。ADB の通路がこの日開いた回数は23回です。 02号全体の接触44,140件のうち**0.05%**です。

事実 同じ日に VNC ポート一つは42,905回叩かれました。全体の97.2%です。そしてそちらから確保されたファイルは0個です。

推定 裏門の話に戻ります。正門の前でドアノブが4万回回されている間に、学校の中へ新しく入ってきた物は、1日23回開く門から入ってきました。 叩かれた回数と実際に入ってきたものは比例しません。

書き取っておくべき値

事実 この日観測されたファイル4種を以下に書き写します。値を押すとコピーされます — 読むためにあるのではなく、ブロックリストに入れるためにある値です。アドレスはわざと壊して書いてあります(hxxp://、[.])。そのままコピーして貼り付けても接続されません。一番下の行が、この日唯一初めて見た値です。

事実 5行のうちアドレスが書かれている行は一つだけです。残りはすべて「アドレス未記録」です。

推定 防御する側にはこれが厄介です。塞ぐアドレスがなければ、ブロックリストに載せるものもありません。 特に389バイトの鍵は、サーバーが外へ出ていく通信を全部断っても防げません。門が開いたその瞬間に、サーバーの中で完結する出来事だからです。

このパスワードをお使いですか

事実 この日のログイン試行は547回です。1日を丸ごと割るとおよそ2分38秒に1回、誰かがIDとパスワードを入れてみたことになります。

事実 以下はそのうち異なるIP3か所以上で観測された組み合わせだけを抜き出した20種です。

事実 この日観測されたID・パスワードの組み合わせはこの20個がすべてではありません。基準を超えなかった組み合わせが239個あります。その239個は個数だけを数え、値は載せていません。

推定 理由はこうです。1〜2か所からしか出てこない組み合わせは、どこかで実際に流出した本物の誰かのアカウントである可能性があります。 ここに書き写せば、その人に二次被害を与えることになります。だから数えるだけにします。

事実 そして上の表から6行をもう一度見てください。root/xc3511、root/vizxv、root/xmhdipc、root/juantech、root/54321、root/888888。この6つの組み合わせは、2016年に公開された Mirai ボットネットの流出ソースコードに組み込まれていた認証情報表の組み合わせと一致します。

推定 10年近く経った一覧がこの日もそのまま来たということです。そして一覧が変わらないということは、その一覧がまだ通用しているという合図です。ただしこの日の攻撃が Mirai そのものだという根拠は私たちにはありません。私たちはコマンドの原文も、検体の分類も持っていません。

国際分類表に対応させると

攻撃者が使った手口には、世界共通で使われている番号が付いています。MITRE ATT&CK という一覧です。以下でIDを押すと原文の説明に飛びます — 私たちの言葉を信じずに直接確認していただくために付けてあります。

• T1078.001Valid Accounts: Default Accounts — ログイン成功5セッション、admin/admin 15個のIPなど工場出荷時デフォルト系列20組み合わせ推定
• T1110.001Brute Force: Password Guessing — ログイン試行547回推定
• T1105Ingress Tool Transfer — 「ファイルダウンロード」18回、306バイトのスクリプトがエイリアス6か所に配達推定
• T1059.004Command and Scripting Interpreter: Unix Shell — コマンド887個、「ダウンロード後に実行」18回推定
• T1222.002File and Directory Permissions Modification: Linux and Mac — 「実行権限の付与」135回でこの日最多の意図推定
• T1098.004Account Manipulation: SSH Authorized Keys — 「SSH鍵の埋め込み」11回 + 389バイトの公開鍵11回推定
• T1070Indicator Removal — 「痕跡の削除」12回推定
• T1082System Information Discovery — 「偵察 — システム」60回推定
• T1046Network Service Discovery — 01 の「偵察 — ネットワーク」1回、02 の5サービス接触44,140件推定
• T1021.005Remote Services: VNC — 5900 ポート接触42,905件。低インタラクションのためセッション成立・認証成功は観測されていない。接触とネゴシエーション試行までである推定
• T1021.001Remote Services: Remote Desktop Protocol — 3389 ポート接触808件、ユニーク送信元124か所。上と同じ限界推定

事実 11行がすべて「推定」バッジです。私たちが見たのはコマンドの意図分類と個数であって、攻撃者が自ら明かした目的ではないからです。

事実 そして下の2行、VNC と RDP にはもう一つ但し書きが付きます。02号はドアノブだけが付いたサーバーなので、ログイン成功という出来事自体がありません。 あの4万件は「叩いた」であって「入ってきた」ではありません。

昨日1日の全体

事実 センサー01(人が実際に入ってこられる側)基準です。

推定 表でもっとも奇妙な行は2番目です。セッションは 1/3.9 に、コマンドは 1/15.9 に減ったのに、訪れた場所は増えました。 人はより多く来たのに、それぞれがやることははるかに少なかったのです。1か所あたり2.13回は、私たちが持っている18日のうちもっとも低い値です。

事実 この日のコマンドに付いた「意図」はこう分かれます。「意図」は打たれたコマンドが何をしようとしたのかを分類した値です。

事実 「実行権限の付与」は、ダウンロードしたファイルに「これは実行してよいプログラムである」という印を付ける作業です。Linux ではファイルを受け取っただけでは動きません。印を別に付ける必要があります。

事実 そして「ファイルダウンロード」18回と「ダウンロード後に実行」18回がまったく同じ数字です。ダウンロードされたものは例外なく実行段階へつながったということです。

事実 隣に立てておいた02号サーバーの数字も書き写しておきます。繰り返しますが、ここでの「接触」は叩いた回数です。

事実 6行の合計が44,140で総計とぴったり一致します。そして一番上と一番下を並べて見てください。接触42,905件から出たファイルは0個、接触23件から出たファイルは1個です。

事実 VNC のほうにはもう一つ形があります。この日イベントがもっとも多い上位7か所の数字は 7,242 / 7,163 / 6,673 / 5,107 / 5,060 / 5,040 / 5,035 です。ところが8位は170です。

推定 7位と8位の間が29.6倍の崖です。そして上位7か所を合わせた41,320件は、この日の VNC 接触の**96.3%**です。この7か所が VNC 暴走の実体と見られます。

事実 ただしここで止めます。この7か所が互いに関連しているかは分かりません。 数字が似ているというだけで同じ主体だとは書けませんし、私たちには確認する手段もありません。

事実 プロトコルが語ってくれたことも書き写しておきます。プロトコル語彙とは、接続する側が「私はこのバージョンで話します」と先に提案する値です。

• VNC で提案されたバージョンは 003.003 が41,336件、003.008 が1,135件です。バージョンが記録された42,471件のうち97.3%が低いほうです。
• SMB の方言提案は NT LM 0.12 77件、LANMAN1.0 68件、LM1.2X002 68件などです。SMB 2.??? を提案した接触は3件だけです。
• RDP 接続クッキーは <ip> が437件でもっとも多く、hello 184件、eltons 7件、空の値5件、Domain 2件、HQJrlorlj 1件です。

推定 RFB 3.3 は認証方式をサーバーが決める古いバージョンなので、認証なしの画面共有サーバーを広く探すツールが好みそうな値です。ただしこの解釈の根拠はプロトコルの定義であって、このデータではありません。SMB のほうも同様に、この日門を叩いたツールはほぼすべて1990年代の方言で話しかけてきました。

推定 RDP クッキーの欄にユーザー名の代わりに接続対象のIPをそのまま入れること(437件、最多)は、人ではなく一覧をなぞる自動化ツールの痕跡と読めます。

私たちが持つ最良の道具が、よりによって今日は届きませんでした

事実 SSH で入ってくる接続は、プログラムごとに最初の挨拶が少しずつ異なります。その挨拶を要約した値をクライアント指紋と呼びます。どのプログラムで接続したのかを指し示す値です。私たちが「これらの接続は同じツールだった」と言うときに使う、ほぼ唯一の材料です。

事実 この日、指紋のクラスタは41個が集計されました。1位は acaa53e0a7d7ac7d1255103f37901306(SSH-2.0-OpenSSH_7.4)で、この日246か所、累計899か所です。この日の01号のユニーク送信元437か所の**56.3%**です。

推定 数字だけ見ると「246か所が一つの群れ」と書きたくなります。書きません。この値は、広く使われている Linux ディストリビューションにそのまま入っているデフォルトの OpenSSH 7.4 クライアントの文字列です。互いに何の関係もない人たちが同じ値を持つのが普通です。言えるのは**「246か所が同じツールを使っている」までであり、「246か所が一つの組織である」**はこのデータでは成立しません。

事実 そしてこの日はもう一つ限界が付きます。門が実際に開いた5回はすべて Telnet です。Telnet には指紋というものがそもそもありません。 SSH は接続時に互いに挨拶をやり取りしますが、Telnet にはその手順自体がありません。5セッションの指紋の欄と接続プログラムの欄がすべて空の値である理由です。

推定 まとめるとこうです。指紋41個のクラスタはすべて SSH 側の話であり、この日実際に破られた5か所はそのどこにも入りません。 私たちが持つ最良の束ねる道具が、よりによってこの日の侵入には届きませんでした。これは収集の失敗ではなく、Telnet という方式の構造的な限界です。

では何をすべきか

推定 ブリーフが整理した「この統制がなかったら」の7項目を、この日のデータがもっとも強く裏付ける順に並べます。

1. 工場出荷時アカウントとありふれたパスワードをなくす — この日門が開いた5回はすべてログインに成功したものです。そして先の表の20種はすべてデフォルト値か4桁の数字です。開いた後を見てください。平均68秒の間にコマンド31個。 実サーバーだったなら、その68秒の間にファイルが一つ降りてきて実行の印が付けられていました。人が気づく時間はありません。

2. Telnet を切る — この日成功した5件はすべて Telnet です。Telnet には鍵認証という選択肢自体がなく、パスワードが暗号化されないまま流れます。ですから Telnet 側でやるべきことは「鍵を使おう」ではなく**「そのサービスを切ろう」**です。SSH 側はパスワード認証を止めて鍵だけを許可すれば、この日の547回の試行はすべて認証段階で終わります。

3. リモート接続・管理ポートをインターネットにそのまま開けておかない — 何の宣伝もしていない機械2台に、1日で44,140回と931回が入ってきました。VNC 一つのポートだけに62か所が42,905回、1か所あたり692回です。脆弱性が一つもなくても、これだけの圧力が常時かかります。 露出そのものが試行量を決めます。VPN や許可IPの後ろへ移せば、この試行量の全体が認証段階に届く前に消えます。

4. Android デバッグ通路(ADB)を切っておく — この日の要点です。接触では44,140件のうち23件、**0.05%**です。ところがこの日確保された新規検体はそこから出ました。使っていない開発者向けの通路を有効にしたままインターネットにつないでおくと、叩かれる回数が少なくても実際の搬入はそちらで起こります。

5. サーバーから外へ出ていく接続を制限する — 侵入者が入ってきた後に本物の武器を持ってくる段階は、すべて外へ出ていく接続です。この日の「ファイルダウンロード」18回と「ダウンロード後に実行」18回がそれです。出ていく通信をデフォルトで塞ぎ、必要な宛先だけを許可していれば、ログインは破られても18回の搬入は失敗していました。第二の防衛線がここです。

6. ログをサーバーの外に別途残す — 痕跡を消そうとする意図がこの日12回観測されました。ログがサーバーの中にだけあったなら、この12回は成功していたはずで、後から調査する人は「何も起きていない」というログを見ることになります。私たちがこの12件を数えられる理由は、ログがハニーポットの外に別途蓄積されているからです。

7. 「何回間違えたらロック」だけに頼らない — この日この項目は両面です。01号は1か所あたりのセッションが2.13回です。1か所が2〜3回叩いて抜けるので、「5回失敗したら遮断」のような閾値はこの日ほとんど発動しなかったでしょう。IP基準の遮断が無力になる形です。逆に02号の VNC は1か所あたり692回でした。ここにレート制限がかかっていたなら、42,905件のうち大部分が切られていました。同じ対策が、ある門では効果がなく、ある門では決定的です。

事実 そして5番に但し書きを付けます。SSH鍵の埋め込みは外へ出ていく接続を必要としません。 出ていく通信を全部塞いでもこれは防げません。サーバーをお使いでしたら、~/.ssh/authorized_keys ファイルを一度開いてみてください。自分で入れた覚えのない行があれば、それが他人の鍵です。 パスワードを変えることでは消えません。

以前にもあったこと

推定 Mirai ボットネット(2016年)。 Telnet と機器の工場出荷時アカウント辞書を利用して IoT 機器を大量に感染させた事例です。当時ソースコードが公開されたことで、中に入っていた認証情報表も一緒に明るみに出ました。この日私たちが引用した20組み合わせのうち6つ(xc3511、vizxv、xmhdipc、juantech、54321、888888)がその表の組み合わせと一致します。10年近く経った一覧がまだそのまま回っているということであり、それはその一覧が依然として有効だという合図です。 ただしこの日の観測を Mirai に帰属させるものではありません。 私たちはコマンドの原文も検体の分類も持っていません。感染台数や被害金額のような数値も引用しません。(根拠:公開された流出ソースコード、米国 US-CERT/CISA アラート TA16-288A)

私たちは観測で終わらせません

事実 この日確保した配布アドレス hxxp://185[.]93[.]89[.]72/wget と新規検体 deacb991… は、C-TAS(韓国インターネット振興院サイバー脅威情報分析・共有体系)へ届け出る対象です。

推定 この日のように01号に新しいものが一つもない日でも、02号から出た新規ハッシュ1件は届け出る値です。裏門から入ってきたその一つが、この日私たちが外へ出せる唯一の新しい情報でした。

事実 ただし但し書きを付けます。私たちが確認できるのは、送信が成功したというところまでです。 受け取る側で実際に登録されたかどうかは、この記録では言えません。

私たちが分からないこと

この記事でもっとも重要な部分です。上に書いたことよりも書けなかったことのほうが多いのです。

• [核心] 5つのセッションが何を実行したのかは分かりません。 私たちが持っているのは意図分類とコマンド個数だけで、コマンドの原文がありません。 TTY録画は存在だけが確認され(この日201件、累計213件)、内容はこのブリーフにありません。
• [核心] 733,706バイトの検体を ADB 経路と見たのは推論です。 「02号でファイルが運び込まれうる通路は ADB だけ」という構造から出たものであり、元データがこのダウンロードを特定のサービスに明示的に結び付けてくれてはいません。
• この新規検体が何なのかも分かりません。 ファイル種別・分類・MalwareBazaar タグがブリーフにありません。「新しく見たファイル」ということと「悪性ファイル」ということは別の話です。 私たちは前者だけを言えます。
• 5つのセッションの指紋・接続プログラムの欄がすべて空の値なので、SSH指紋でこれらを束ねることはできません。Telnet の構造的な限界であって収集の失敗ではありません。
• 5つのセッションが同じツールだと見る根拠は、コマンド個数・取得したファイル・かかった時間の一致だけです。 同じ組織だという意味ではありません。広く配布された同じスクリプトを、互いに無関係な人たちがそれぞれ走らせても、まったく同じ姿になります。
• 01号のポート別セッションの合計(577 + 349 = 926)が全体のセッション931と5件食い違います。 原因はこの記録では分かりません。
• VNC でバージョンが記録された接触は42,471件ですが、総計は42,905件です。434件はバージョン情報がありません。 ネゴシエーション前に切れたのか、記録が欠落したのかを区別できません。
• 389バイトの公開鍵は11回の観測なのに、出所エイリアスの一覧には10個しか載っていません。 11番目の送信元がどこなのか分かりません。
• 9バイトのテキスト検体は回数が6なのに出所は1か所です。二つの値が食い違い、どちらが正しいかを判断する根拠がないため、本文では回数を解釈しませんでした。
• 02号で一つの送信元が複数のサービスをまとめてなぞったかどうかは計算できません。 上位送信元の一覧には、サービス別の内訳がなく総イベント数だけがあります。ですから VNC 上位7か所が他の門も叩いたかどうかは分かりません。
• 2台のサーバーのユニーク送信元の共通部分が分からないため、合算のユニーク送信元は最大737か所という上限としてしか言えません。
• 背景統計として持っている CVE 6,607件・CISA KEV 390件・ランサムウェア確認98件、そして Fortinet・Confluence・Log4j2・NetScaler・PAN-OS の項目は、KISA セキュリティ告知から取った背景の文脈です。この日のハニーポット観測と結び付いたものではありません。
• C-TAS への届け出は、転送レイヤーで成功したというところまでしか確認されません。
• エイリアス(ATK-XXXXXX)は記事の間で同じマスキング済み送信元を指す目印にすぎず、身元ではありません。
• 最後に、ハニーポットは門を開けてやるように作られたサーバーです。 ログイン成功は「このパスワードが実際の運用サーバーでも通用する」という意味ではなく、**「このパスワードが試されている」**という意味です。

そして以下は、そもそも確認する手段がないものです。推定しません。

• ASN・ISP — 関連するデータベースがありません。どの通信事業者・どのホスティング帯域なのか確認できません。
• 地理情報 — 同じくありません。そしてIPの地理情報は、それ自体が帰属の根拠にはなりません。いかなる国家・企業・個人もこの日の攻撃者として名指ししません。
• VPN・Tor・クラウドかどうか — 判別する手段がありません。この日02号の上位7つの送信元が似た規模であるという点を解釈しなかった理由もこれです。
• VirusTotal — 連携していません。733,706バイトの新規検体を含め、この日の検体の悪性かどうかと分類をこの記事では言えません。
• User-Agent — 二つの観測面はどちらも HTTP ではありません。01号は SSH・Telnet、02号は SMB・RDP・VNC・MSSQL・LDAP・ADB です。上で引用した RDP クッキー・SMB 方言・VNC バージョンは User-Agent の代替物ではなく、プロトコルが定めているネゴシエーション語彙です。
• CVE との紐付け — SSH・Telnet の攻撃はたいてい特定の脆弱性を参照せず、認証情報を使います。02号もプロトコルのネゴシエーション段階なので同様です。この日の観測のどこにも特定の脆弱性を結び付けることはできません。

推定 まとめると、この日はこうです。ドアノブは44,140回と931回回されました。門が実際に開いたのは5回、全部合わせて5分40秒です。そしてその5回が持ち出した物は17日目の同じもの、この日もっとも多く配達された鍵は18日目の同じものでした。

推定 学校の話に戻ります。正門の前がどれだけ混み合っても、中へ入ってくる物は裏門から入ってきます。この日初めて見た物一つは1日23回開く門から入ってきて、4万回叩かれた門からは何も入ってきませんでした。

ですからこの日のデータが指しているのは、もっとも騒がしい門を守れというほうではありません。 数えてみていない門がいくつあるのかをまず数えてみろ、というほうです。機械を1台でもインターネットにつないでおられるなら、今日は二つだけやってみればよいのです。有効にした覚えもない管理・開発者向けの通路が開いていないか確認すること、そして ~/.ssh/authorized_keys を一度開いてみること。後者は数秒で済みます。

観測日は2026年9月2日(UTC)の1日です。送信元IPはブリーフのマスキング形式(59.126.x.x)をそのまま書き写し、復元していません。配布アドレスは接続されないように変形して記しました(hxxp://、[.])。認証情報は異なるIP3か所以上で観測された組み合わせ20種のみを引用し、その基準を超えなかった組み合わせ239種は個数だけを明かして値は載せていません — 1〜2か所からしか出てこない組み合わせは実際の流出アカウントである可能性があるためです。ASN・国籍・行為者の帰属は確認手段がないため推定しません。