ソーシャルメディアや公開情報（OSINT）を起点とする「偵察攻撃」

背景と概要

サイバー攻撃者が標的企業へ本格的な侵入を試みる前段階として、必ず行われるのが「偵察（Reconnaissance）」活動です。

現代の攻撃者は、技術的なポートスキャンやネットワーク走査だけでなく、企業の公式サイト、プレスリリース、求人サイト、そして従業員個人のSNS（LinkedIn、X、Facebook、Instagram等）など、インターネット上に合法的に公開されているオープンソース情報「OSINT（Open Source Intelligence）」を徹底的に収集・分析します。これらの公開情報から得られた組織構造や技術スタックの隙が、標的型フィッシングやソーシャルエンジニアリングの決定的な「侵入の糸口」となっています。

OSINTによって収集されるデータと悪用シナリオ

攻撃者は、一見無害に見える断片的な情報を組み合わせることで、企業内部の「パズル」を完成させます。

1. 求人サイトの「必須スキル」からの技術スタック特定

企業が求人サイトで「AWS、Kubernetes、Fortinet VPNの運用経験者募集」といった詳細な要件を掲載している場合、攻撃者は「この会社はFortinetのVPN機器を使っている」「クラウドはAWSでコンテナ運用を行っている」という内部環境の構成情報を正確に把握できます。これにより、狙うべき脆弱性の絞り込みが行われます。

2. LinkedInやSNSからの「キーパーソン」の特定

経理担当者、IT管理者、広報担当者などの氏名や役職、部署名を特定します。さらに、個人のSNS投稿（例: 「出張で今週は〇〇にいます」「新しいシステム〇〇の導入で忙しい」等）から、その人物になりすましたり、その人物が不在のタイミングを狙って同僚へ偽の緊急送金指示・パスワード再発行依頼（CEO詐欺やVishing）を送信します。

3. リポジトリやスライド資料への「内部メタデータ」の残存

学会発表のスライドや公開用PDFファイルのプロパティ（メタデータ）から、作成者の内部ユーザー名、OSのバージョン、内部プリンタのIPアドレスなどが漏えいするケースです。

OSINT悪用によるビジネス影響

技術的なセキュリティ防御（ファイアウォールやEDR）を一切刺激することなく、事前に攻撃のシナリオが完成してしまうため、従業員が届いたフィッシングメールや偽の電話を「本物の業務連絡」と完全に信じ込んでしまうリスクが高まります。

組織における防衛・コントロール策

情報の公開レベルのコントロールと教育が推奨されます。

1. 「外部公開情報」のガイドライン策定と教育

求人原稿やプレスリリース、従業員の個人SNS利用に関するガイドラインを整えます。「自社の使用している具体的なセキュリティ製品名やネットワーク構成を記載しない」「業務に関する詳細な人間関係や不在スケジュールをSNSに書かない」といった基本ルールを周知します。

2. 自社に対する「パッシブOSINT診断」の実施

攻撃者と同じ視点で、自社に関する情報が外部（ダークウェブ含む）にどれほど露出しているかを専門ツール（EASM等）や診断サービスで調査し、不要な情報（公開設定になっているテストサーバーや元社員のアカウント情報等）を削除・修正します。