Torとダークウェブの仕組み。攻撃者が使う理由と組織が取るべき備え

ランサムウェアの被害報道で「ダークウェブのリークサイトに公開された」という表現をよく見かけます。この「ダークウェブ」は、多くの場合Torという匿名化ネットワークの上に置かれた.onionのサイトを指します。守る側にとって大切なのは、そこへ見に行くことではなく、なぜ攻撃者がその場所を選ぶのかという構造を理解し、自組織の情報がそこに出たときに気づける体制を持つことです。

この記事では、Torのオニオンルーティングと.onionサービスの仕組みを原理から整理し、攻撃者がリークサイトや不正市場を置く理由、そして組織が取るべき備えを実務目線でまとめます。アクセスの具体的な手順や、違法な市場やサービスの利用方法は扱いません。あくまで、脅威を理解して守るための解説です。

Torが発信元を隠す仕組み#

Torは、通信を複数のリレーで中継して発信元を隠す匿名化ネットワークです。通常のプロキシやVPNが一つの事業者を経由するのに対し、Tor Projectの説明によれば、Torは宛先へ送る前に少なくとも3つの異なるサーバーを通します。ここが決定的な違いです。単一の経由点は、そこが信頼を失えば匿名性が崩れる一点集中の弱点になりますが、Torは信頼を複数のリレーへ分散させます。

分散の効き目は、各リレーが持つ情報が限られている点にあります。最初のリレーは利用者の端末から届く暗号化されたTorの通信を見ますが、その人が誰で何をしているかは分かりません。最後のリレーはTorから出ていく通信を見ますが、それを誰が送ったのかは分かりません。送信元と宛先の両方を同時に知るリレーが存在しないため、経路の一部を押さえただけでは結び付けられない構造になっています。この多層の暗号化を、皮をむくタマネギになぞらえてオニオンルーティングと呼びます。

ここで押さえておきたいのが、Torが守る範囲です。Torが隠すのは通信の経路と発信元であって、通信の中身そのものを最後まで守るわけではありません。HTTPSを使っていれば、出口のリレーに読まれるのは接続先のホストやポート、通信量やタイミングといった外形の情報にとどまり、URLのパスやヘッダー、本文、認証情報といった中身は読めません。逆に暗号化されていない通信は、出口の時点で中身がそのまま見えます。なお、後述する.onionのオニオンサービスは出口を通らず、利用者からサービスまで暗号化されたままやり取りされます。匿名化と暗号化は別の話だという理解が、この仕組みを正しく評価する出発点になります。

.onionのオニオンサービスが持つ性質#

いわゆるダークウェブの実体の多くは、Tor上で提供されるオニオンサービス、つまり.onionで終わるアドレスのサイトです。これは普通のWebサイトをTor越しに見るのとは別の仕組みで、通信がTorのネットワークの外へ出ません。

Tor Projectの解説によれば、.onionアドレスはサービスの識別用公開鍵から導出されます(現行のv3ではチェックサムとバージョンも含みます)。つまりアドレス自体が鍵に紐づく自己認証の性質を持ち、DNSや認証局のような第三者を介さずに、接続先がそのアドレスに対応する鍵の持ち主であることを確かめられます。ここで確認できるのはアドレスと鍵の結び付きまでで、運営者が何者かや掲載内容が安全かまでは保証されません。正しいアドレスを信頼できる経路から入手する必要がある点も変わりません。接続は、利用者側が選んだリレーをランデブーポイントとして指定し、サービス側も匿名化された回路を通じてそこへ接続して成立します。ランデブーポイントは暗号化された通信を中継するだけで、中身を読めるわけではありません。この形をとることで、サービスのIPアドレスが隠され、利用者の側も同様に保護されます。

提供者と利用者の双方が所在を隠せるという性質は、内部告発の受付窓口のように、情報提供者を守る必要がある用途では大きな価値があります。実際、報道機関がSecureDropを使ってオニオンサービスの窓口を設ける例が挙げられています。一方でこの性質は、そのまま摘発されにくい犯罪インフラの土台にもなります。技術は中立で、使われ方が分かれるという典型です。

攻撃者がダークウェブを選ぶ理由#

ランサムウェアの攻撃者が被害組織の名前と盗んだデータを晒す「リークサイト」は、多くがこのオニオンサービス上に置かれます。理由は単純で、通常のホスティングなら停止要請や通報で消される場所が、ここでは押さえにくいからです。運営者の所在が分からなければ、削除を求める相手も特定できません。

リークサイトは、暗号化とは別の圧力をかける道具として使われます。ファイルを暗号化して業務を止める圧力と、盗んだデータの公開をちらつかせる圧力を組み合わせるのが、二重恐喝と呼ばれる型です。近年はこれに加えて、暗号化を行わず盗んだデータの公開だけで脅す、データ窃取型の恐喝も広がっています。どちらの型でも、被害組織にとっては「バックアップから復旧できるかどうか」だけでは片づかない問題になります。IPAの情報セキュリティ10大脅威2026でも、ランサムウェアによる被害は組織向けの脅威の筆頭に挙げられ続けています。

盗まれた認証情報や個人情報が売買される市場も、同様の理由でここに置かれます。情報窃取型マルウェアが集めたIDとパスワード、セッションのCookieなどが束ねて売られ、別の攻撃者が初期侵入に使う流れができています。この構造を押さえておくと、自組織の一件の感染が、後々別の攻撃の入口として使われうる理由が理解できます。

あわせて読みたい

情報窃取型マルウェアがセッションCookieを盗んで多要素認証を回避する仕組み

摘発が効かないわけではありません。2026年に入ってからも、ランサムウェア関連のサービスが売買されていた地下フォーラムRAMPについて、押収を示す表示やFBI管理下とみられるネームサーバーが確認されたと1月に報じられました(報道時点でFBIの公式声明は出ていないとされています)。また、流出データが配布されていたフォーラムLeakBaseは、3月に米司法省が押収を正式に発表しています(こちらはTor上ではなく通常のWeb上で運営されていたフォーラムです)。ただし、こうしたテイクダウンは攻撃者の連携に打撃を与える一方で、別の場所が空白を埋めていく傾向も指摘されています。摘発を待つのではなく、自組織側の備えを積んでおく前提で考えるのが現実的です。

あわせて読みたい

ランサムウェアの感染経路と被害最小化。初期侵入を断ち、復旧できる備えをつくる

組織が取るべき備え#

ここまでを踏まえると、守る側の打ち手は「ダークウェブを見に行くこと」ではありません。自組織の情報がそこに出ていないかを継続して把握し、出ていた場合にすばやく手を打てる状態を作ることです。

個人や小規模な組織であれば、Have I Been Pwnedのように、メールアドレスが既知の漏洩データに含まれているかを確認できるサービスから始められます。これはダークウェブ全体を常時見張るものではなく、収集済みの漏洩データベースを検索する仕組みです。企業向けには、ダークウェブ上の掲示板や市場を継続的に監視して自社に関する情報の露出を検知するサービスもあります。

いずれの手段にも限界があります。検出できるのは監視側が収集できた既知のデータに限られ、収録されていない漏洩や非公開のまま取引される情報は現れません。したがって「見つからないこと」は安全の証明になりません。逆に、掲載されている情報が古い漏洩の再掲だったり、別組織のデータの誤った帰属だったり、実際には侵害していないのに主張だけがなされる場合もあります。検知したら鵜呑みにせず、社内のログや原本のサンプルと突き合わせて裏を取ります。掲載場所が頻繁に移り変わる以上、一度の確認で安心せず、継続的に見る運用に組み込むことが肝心です。

Tor経由の通信をどう扱うか#

自社のネットワークやサービス側から見ると、Torはもう一つの顔を持ちます。攻撃者が発信元を隠すための経路として使われる場合があるからです。ここは入ってくる通信と出ていく通信を分けて考えると整理できます。

公開しているWebサービスへ外から届く通信では、送信元としてTorの出口ノードのIPアドレスが見えます。匿名性を必要とする利用者を想定するサービスなら、一律に遮断するのは適切ではありません。匿名アクセスを想定しない業務システムであれば、公開されている出口ノードの一覧を補助的な材料として、監視の重みづけや追加認証、レート制限を検討する余地があります。ただし一覧は変化し、同じ出口IPを多数の正当な利用者が共有するため、遮断だけに頼らず、振る舞いの検知や権限の制限と組み合わせるのが現実的です。

一方、社内の端末から外へ向かう通信では、端末が直接つなぐ先は出口ノードではなく入口側のガードリレーやブリッジです。したがって出口ノードの一覧では社内からのTor利用を捉えきれません。業務端末からTorネットワークへの通信が観測された場合は、利用者による意図的な利用か、マルウェアによる通信かを切り分けて確認します。いずれの向きでも、遮断そのものより、ログを残して異常な振る舞いに気づける状態を保つことが先決です。

あわせて読みたい

情報漏えい発生時の対応と公表。委員会への報告義務と本人通知をどう判断するか

Torが宛先へ送る前に少なくとも3つのサーバーを経由すること、通常のプロキシが単一の信頼点となるのに対し信頼を分散すること、最初のサーバーは暗号化されたTorの通信を見るが利用者が誰かは分からず、最後のサーバーは通信を見るが送信者を知らないこと、HTTPSなどの暗号化がある場合に最後のサーバーには宛先しか分からないことは、Tor Project公式のサポート情報に基づきます。.onionアドレスがサービスの識別用公開鍵から導出されること、ランデブーポイントと使い捨ての秘密を用いて接続が成立すること、サービスのIPアドレスが保護されること、報道機関がSecureDropで窓口を設ける例は、Tor Project公式のオニオンサービス解説に基づきます。リークサイトが暗号化とデータ公開を組み合わせる二重恐喝の圧力として使われることとその位置づけ、掲載内容に誤帰属や虚偽の主張が含まれ得ることはPalo Alto Networksの解説、暗号化を伴わないデータ窃取型の恐喝が広がる傾向はKasperskyのSecurelistの2026年のランサムウェア動向に基づきます。RAMPについて押収表示やFBI管理下とみられるネームサーバーが確認されたと報じられたこと(報道時点でFBIの公式声明はないとされること)はInfosecurity Magazineの報道、LeakBaseが2026年3月に押収されたことと同フォーラムが通常のWeb上で運営されていたことは米司法省の発表に基づきます。ランサムウェアが組織向けの脅威の筆頭であることはIPAの情報セキュリティ10大脅威2026、既知の漏洩データベースを検索する仕組みであることと検出範囲の限界はHave I Been PwnedのFAQ、リレーの種類とTor遮断についての考え方はTor Project公式の情報に基づきます。本記事はアクセス手順や違法なサービスの利用方法を扱いません。

Torとダークウェブは、匿名性という一つの性質が、正当な用途と犯罪の双方に使われている領域です。守る側にとって必要なのは、そこへ踏み込むことではなく、なぜ攻撃者がその場所を選ぶのかを理解し、自組織の情報が出たときに早く気づいて動ける状態を保つことです。継続的な露出の監視と、流出を前提にした初動の準備、そして認証情報の使い回しをなくす地道な運用が、この領域に対する現実的な備えになります。