OSINT を安易に考えるな ～ 日本ハッカー協会 杉浦氏講演

　昨日 3 月 7 日から、サイバーセキュリティカンファレンス Security Days Spring 2023 東京が、東京駅至近の KITTE を会場としてはじまった。開期は金曜日 3 月 10 日まで。

　Security Days の人気講演のひとつが、一般社団法人日本ハッカー協会の代表理事 杉浦 隆幸 氏の講演だ。キーノート（基調講演）枠で登壇し、OSINT を主軸としたサイバー攻撃者の情報収集活動を、臨場感たっぷりのスライドとともに解説する講演は、あのケビン・ミトニックを彷彿とさせる緊迫感があり、毎回満員御礼を記録した。

・ハッカーの OSINT 活用法
・メールアドレスでここまで情報が入手可能
・ビジネス OSINT とは何か？
・「ハッカーが活躍できる社会を作る」2 年間の成果とこれからの展望

　しかし今春開催の Security Days には残念ながら杉浦氏のセッションが含まれていない。ありえない。責任者出せ。そんな「杉浦ロス」の本誌読者向けに、過去の取材資料と素材をもとに、2022 年 2 月開催の Security Days の杉浦氏の基調講演のレポートを蔵出しでお届けすることにした。

--

●安全保障と脅威インテリジェンスの落とし穴

　いまに始まったことではないが、エスカレートするサイバー攻防において、防御側も守りを固めるだけでなく、積極的な情報収集、脅威インテリジェンスが欠かせないとされる。

　防御側の情報収集や脅威インテリジェンスで注目を集めているのが OSINT と呼ばれる公開情報ベースのインテリジェンス手法だ。基本的には合法であり誰でもできる。だが、その一方で、OSINT やサイバーセキュリティとは直接関係のない「敵基地無力化」や「先制攻撃」といった、いかにも素人の政治家が喜びそうなフレーズで脅威インテリジェンスやサイバーセキュリティを括ろうとする動きもみられる。

　セキュリティと安全保障は強く関係する事象だが、安易な議論は危険だ。「深淵をのぞき込む時、深淵もまたこちらを除いている」とは、かのニーチェの名言だが、いまやネットミームとして認知・浸透している。ネットワークにおけるアクセスは、相手に接続することを意味し、それは相手も認知しているということに他ならない。このフレーズはまさに OSINT や脅威インテリジェンス、ひいては脆弱性診断にまで関わる重要な示唆になっている。

　こう語るのは、日本ハッカー協会 代表理事 杉浦隆幸氏だ。本稿は、2022 年 2 月に開催された Security Days Tokyo 2022 Spring　の基調講演で杉浦氏が語った内容を元に、OSINT や脆弱性診断への注意点をまとめたものだ。