作ったばかりの無名サーバーに3万回超の不審接続、「うちは狙われない」が通用しないサイバー攻撃の実態

　企業を狙うサイバー攻撃が激しさを増しています。大企業のシステムが停止したり、大量の個人情報が流出したりするニュースを見て、「狙われるのは、お金や重要な情報を持っている大企業だけ」と考えている人もいるでしょう。しかし、実際には企業の規模や知名度に関係なく、インターネット上に公開されたサーバーが日々、不審な接続にさらされているのです。小さな会社だから安心、というわけにはいきません。 　そこで今回は、架空の企業を装った小さなサーバーを用意し、どれほどの不審な接続が届くのか試してみることにしました。侵入の試みを記録する仕組みを導入すると、10月21日から29日午後までに3万2183回もの不審な接続が届き、送られた命令や入力の記録は延べ約20万件に達しました。中には、わずか16秒間にプログラムの持ち込みや起動、削除まで試みる動きも見つかったのです。いったい誰が、何のために接続してきたのでしょうか。今回は実際の記録をたどり、普段は見えにくいサイバー攻撃の実態を紹介します。

　企業を狙うサイバー攻撃が激しさを増しています。大企業のシステムが停止したり、大量の個人情報が流出したりするニュースを見て、「狙われるのは、お金や重要な情報を持っている大企業だけ」と考えている人もいるでしょう。しかし、実際には企業の規模や知名度に関係なく、インターネット上に公開されたサーバーが日々、不審な接続にさらされているのです。小さな会社だから安心、というわけにはいきません。 　そこで今回は、架空の企業を装った小さなサーバーを用意し、どれほどの不審な接続が届くのか試してみることにしました。侵入の試みを記録する仕組みを導入すると、10月21日から29日午後までに3万2183回もの不審な接続が届き、送られた命令や入力の記録は延べ約20万件に達しました。中には、わずか16秒間にプログラムの持ち込みや起動、削除まで試みる動きも見つかったのです。いったい誰が、何のために接続してきたのでしょうか。今回は実際の記録をたどり、普段は見えにくいサイバー攻撃の実態を紹介します。

■おとりを改修しながら観測すると、不審な接続の中身まで見えてきた 　国内企業への不正アクセスが相次ぎ、2026年10月9日には情報処理推進機構(IPA)が企業に対策の緊急点検を呼びかけました。被害のニュースはよく目にしますが、実際にサーバーがどのような攻撃を受けているのかは、なかなか見えてきません。そこで自分でも観測してみようと、国内のクラウドサービス「ConoHa VPS」で小型サーバーを借りました。CPUは1コア、メモリは512MBという小さな構成です。

　サーバーには、外部から接続してきた相手の行動を記録する「ハニーポット」を導入しました。使用したのは、無料で公開されている「sshesame」というソフトです。接続元や試されたユーザー名とパスワード、ログイン後に送られた命令などを記録できます。 　相手の行動を詳しく観測するため、入力されたパスワードはあえて受け入れる設定にしました。もちろん、接続した相手が本物のOSを自由に操作することはできません。実際の管理用の入口を分離し、危険なプログラムの実行や外部への通信も制限しています。

　集まった記録を視覚的に把握できるよう、Windows PCで動く専用の監視システムも開発しました。生成AIの「ChatGPT」に要望を伝えてプログラムを作成し、試されたユーザー名やパスワード、送られた命令を一覧表示するほか、接続元の推定所在地を地球儀上に描画するなど、ひと目で状況を確認できるよう工夫しました。 　初期の記録を見ると、作ったばかりの小さなサーバーにも、外部からログインを試す接続が届いていました。10月17日夕方から19日朝までの約39時間に記録できた接続は98回で、複数の接続元から通信が来ていたこともわかります。ただ、ログイン後に送られた命令の要求は、同じ期間にわずか9件しかありませんでした。相手が接続してきたことはわかっても、その先の手口を詳しく追うには、十分な記録が集まりません。

　調べてみると、初期のおとりには不自然な点がありました。接続相手に「sshesame」というソフト名をそのまま返しており、おとりだとばれてしまっていたのです。OSの種類を調べる命令にも十分に答えられず、本物のLinuxサーバーらしい受け答えにはなっていませんでした。さらに、途中で通信が止まった相手の影響で、新しい接続を受け付けられなくなる問題も見つかりました。 　そこで、生成AIと相談しながら、おとりプログラムに改良を加えていきます。接続時に相手へ伝えるソフト名を変え、OSやCPU、メモリなどを調べる命令にもLinuxらしい返答を用意しました。接続受付の問題も修正し、架空のパーツ卸会社「leveling Parts」が運用する受注・在庫管理サーバーという設定も追加。架空の取引先や商品、注文履歴、データベースの設定ファイル、バックアップまで用意し、相手が調べれば本物の業務サーバーらしい情報が出てくるようにしたのです。

　すると、監視システムに表示される数字が一気に増え始めました。架空会社の設定を加えた改修版では、約2日間で4708回もの接続があり、命令の要求も1万8604件に達したのです。初期にはわずか9件しかなかった命令の記録が次々と増え、相手がログイン後に何をしようとしているのかも詳しく追えるようになりました。 　では、これほど多くの接続で、何が試されていたのでしょうか。集まった記録を詳しく分析してみました。

■3万回超の接続の約4分の3は同じ下調べ、無名のサーバーも自動攻撃の標的に 　10月21日から29日午後までの記録を集計すると、接続は3万2183回に達していました。10月26日には1日で6177回、午前1時台の1時間だけで1394回にも上っています。 　まず目立ったのは、ユーザー名とパスワードを次々に試す動きです。管理者を意味する「root」や「admin」といった名前に、「123456」や「123」などの簡単なパスワードを組み合わせていました。よくある組み合わせをリスト化して試す「辞書攻撃」と呼ばれる方法です。

　さらに調べると、17の異なる接続元から、まったく同じ1197組のユーザー名とパスワードが試されていました。共通の候補リストを使い、複数の場所から自動的にログインを試みていたと考えられます。初期設定のままのアカウントを放置したり、「123456」のような簡単なパスワードを使ったりしていれば、こうした自動攻撃で侵入を許すおそれがあります。攻撃者に会社の情報を知られていなくても、管理用の入口を突破されかねないのです。

試行回数の多かったユーザー名とパスワード (図表:筆者作成) ・ユーザー名 ・パスワード 　root 　123456 　admin 　123 　ubuntu 　1234 　user 　password 　support 　admin 　ログイン後の操作も、驚くほどパターン化されていました。全接続の約4分の3に当たる2万3938回は、OSやCPUの種類、稼働時間を調べる同じ3つの命令を送るだけで終了しています。接続時間も半数はわずか3秒以内で、人間がじっくり調べるというより、プログラムが次々とサーバーの情報を収集しているようです。中には、AIの計算などに使うGPUの性能を調べようとする操作もありました。相手は、侵入できたコンピューターにどんな性能があり、何に利用できそうかを探っていたと考えられます。

　今回の記録からわかるのは、会社の規模や知名度に関係なく、インターネット上に公開されたサーバーが自動的に探索されているという現実です。中小企業の業務サーバーはもちろん、開発途中の試験環境や外部業者が使う保守用の入口も例外ではありません。重要な情報を保存していなくても、侵入を許せばコンピューターそのものを悪用されるおそれがあります。「うちは小さな会社だから狙われない」という考えは通用しないのです。 ■接続からわずか16秒で起動や削除まで要求され、侵入後の動きは想像以上に速かった

　大半の接続は、OSやCPUなどを調べるだけで終わっていました。ところが一部は、動作環境を確かめた後、そのまま不審なファイルの持ち込みや起動まで試みています。たとえば、10月28日午前2時58分34秒に始まった接続では、相手はユーザー名とパスワードの両方に「mysql」を指定し、おとりがログインを受け入れました。 　その2秒後、相手は簡単な計算などを指示し、サーバーが命令を処理できるか試しました。続いて「.b0s」という正体不明のファイルを3カ所へ送り込もうとします。さらに、ログイン時のパスワードを管理者権限の操作にも使い、このファイルをプログラムとして動かそうと、方法を変えながら何度も起動を要求しました。

　最後には「.b0s」という名前のファイルを削除する命令まで送り、午前2時58分50秒に接続が切れました。ログインからわずか16秒で、プログラムの持ち込みから起動、後片付けまで一気に試していたのです。 　しかも、こうした動きは1回限りではありません。同じようにファイルを送り込もうとする要求は、1608回の接続で確認されました。パスワードを試すだけで終わらず、ログイン後にプログラムを持ち込んで動かそうとするところまで、一連の手順が自動化され、繰り返されていたと考えられます。

　企業のサーバーでログインを許してしまえば、担当者が異常に気づく前に、不正なプログラムを動かされる可能性があります。警告を受けてから人間が対処しようとしても、間に合わないほどの速さで攻撃が進むのです。 　厄介なのは、一度ログインした後も、再び入り込めるようにする動きです。別の接続では、相手が自分の電子的な鍵をサーバーに登録しようとしていました。いわば、勝手に「合鍵」を作る行為です。この鍵が登録されると、管理者が不審なログインに気づいてパスワードを変更しても、相手は再びログインできてしまいます。しかも、同じ鍵を登録しようとする要求が、586種類ものIPアドレスから届いていたのです。

　さらに、サーバーに不正なプログラムを居座らせようとする動きもありました。10月23日の別の接続では、わずか20秒間にプログラムの持ち込みを試み、サーバーの再起動時や毎時間、自動的に動くよう設定まで要求していたのです。合鍵が再びログインするための仕掛けなら、こちらは管理者がサーバーを再起動しても、不正なプログラムを動かし続けるための仕掛けです。 　サーバーを乗っ取られると、情報を盗まれるだけでなく、コンピューターの計算能力を勝手に使って暗号資産を採掘されたり、別の組織を攻撃する踏み台にされたりする危険もあります。自社の業務が停止するばかりか、取引先や第三者にまで被害が広がる可能性もあるのです。会社の規模が小さくても、その影響は決して小さいとは限りません。

よく試された命令(図表:筆者作成) ・順位 ・命令の内容 ・要求回数 　1 　OSやCPU、稼働状況の確認 　74,741 　2 　動作環境の詳しい確認 　10,488 　3 　GPUの性能確認 　5,764 　4 　ファイルの送り込み 　4,824 　5 　持ち込んだファイルの起動 　4,820 　6 　ファイルの実行権限の変更 　1,608 　7 　ファイルの削除 　1,606 ■管理用の入口を絞る対策と、侵入後の異変を見逃さない仕組みを整えたい

　企業がこうした攻撃に備えるには、不正なログインを防ぐだけでなく、万一侵入されたときに被害を広げない対策も必要です。今回の実験で見えた手口を踏まえて、経営者や管理職でも確認できるポイントを押さえておきましょう。 　まずは、インターネットからアクセスできる機器やシステムを洗い出す必要があります。リモートワーク用の接続機器や保守用の管理画面、以前の担当者が作った試験サーバーなど、把握していない入口が残っているかもしれません。経営者や管理職は、担当者に「外部から接続できる入口がどれだけあり、誰が管理しているのか」を確認してみてください。不要な入口は閉じ、業務上必要なものも接続元を制限します。あわせて、機器やソフトウェアの更新プログラムが適用されているかも点検しましょう。

　次に、ログイン時の認証を強化します。今回の記録では、「123456」などの簡単なパスワードが何度も試されていました。初期設定のままのパスワードは変更し、使われていない保守用アカウントは無効にします。さらに、多要素認証や正規の管理者だけが持つ電子的な鍵による認証を導入すれば、不正なログインを防ぐ効果が高まります。万一侵入されても重要な設定を勝手に変更されないよう、アカウントごとの操作権限も必要最小限に絞っておきましょう。

　万一、不審なログインが見つかったら、パスワードを変更するだけで終わらせてはいけません。先ほどの「合鍵」や自動起動の例のように、攻撃者が再び侵入したり、勝手にプログラムを動かしたりするための仕掛けを残している可能性があるからです。担当者には、ログインの記録を調べるだけでなく、見覚えのない鍵や自動的に動くプログラムが追加されていないかまで確認してもらいましょう。 　監視を外部へ委託している場合も、異常を検知したとき誰に連絡が届き、誰が対応するかを確認する必要があります。システムの切り離しや証拠の保存、取引先への連絡、バックアップからの復旧まで、事前に手順を決めておけば混乱を減らせます。

　IPAも26年10月の注意喚起で、外部公開システムやアカウントの点検、認証と権限の見直し、ログの確認などを呼びかけました。セキュリティを技術担当者だけの仕事にせず、事業を守る経営課題として扱うことが欠かせません。 　今回用意したのは、顧客情報も企業としての知名度もない架空の業務サーバーです。それでも、10月21日から29日午後までに3万回を超える不審なログインの試みが記録されました。中には、不正なプログラムを動かそうとしたり、再び侵入するための「合鍵」を残そうとしたりする動きもありました。サイバー攻撃は、大企業だけの問題ではありません。「うちは狙われない」と油断せず、自社のどのシステムがインターネットに公開され、どのような対策が取られているのか、今一度確認してみてください。