ダークウェブとは何か？ 意味、定義、仕組み

ダークウェブとは何か？

ダークウェブは、到達するために専用ソフトウェアを必要とする、暗号化されたオーバーレイネットワーク上で動作するインターネットの層です。標準的なブラウザでは開くことができず、検索エンジンにもインデックスされません。実務上、ダークウェブの意味は限定的です。ホスト側も訪問者側も特定されません。

2025年6月、米国シークレットサービスとFBIは 約145のダークネットドメインを押収しました。これらは、盗まれた決済カードや侵害された認証情報を販売していたBidenCashマーケットプレイスに関連していました。

セキュリティ運用を担当している場合、ダークウェブは盗まれた認証情報に価格が付き、再販される場所です。このページでは、ネットワークの仕組み、そこにあるもの、そして監視すべき場所を取り上げます。

ダークウェブ、ディープウェブ、サーフェスウェブの違い

ディープウェブとダークウェブの違いについては、今なお多くの混同があります。その結果、「ダークウェブ」はしばしば「ディープウェブ」と同義に使われますが、実際には両者は別物です。「サーフェスウェブ」は、GoogleやBingなどの検索エンジンで検索可能なWWWサイトで構成されます。

そのインデックスを超え、パスワードや何らかのソフトウェアの背後に隠れているものは、ディープウェブまたはダークウェブとして知られています。ディープウェブ、ダークウェブ、サーフェスサイトの違いは、インターネットから生じる脅威を評価する組織にとって重要です。

1. サーフェスウェブ – 容易にインデックス可能: サーフェスウェブは、標準的なウェブブラウザと標準的な検索エンジンクローラーを用いてアクセスできるすべての情報で構成されます。これには、ニュースサイト、ソーシャルメディアページ、企業サイト、オンラインショップなどが含まれます。これらのドメインには、ウェブサイトが提供するリンクまたは検索エンジンの結果を通じてアクセスできます。これはインターネットのごく一部にすぎませんが、人々はこれを「Web」という用語と結び付けています。
2. ディープウェブ – インデックスされないページ: ディープウェブのページは、ペイウォールの背後にあるか、プライベートネットワーク内にあるため、一般的な検索エンジンにはインデックスされません。例としては、企業の内部データベース、パスワードで保護されたメール、有料のジャーナルや定期刊行物などがあります。このインデックスされない領域は、規模の面ではサーフェスウェブよりはるかに大きいです。なお、ディープウェブ自体に犯罪的な意味合いはありませんが、一部のダークウェブサイトはしばしばディープウェブと呼ばれます。
3. ダークウェブ – 設計上の匿名性: ダークウェブはディープウェブの一部であり、TorやI2Pのような匿名ネットワークでホストされるサイトで構成されます。Torネットワークでは「v3 onion sites」とも呼ばれ、これらのドメインはランダムな文字列で、「.onion」で終わります。これらには、ユーザーの身元とIPアドレスが秘匿されるよう、ダークウェブブラウザを通じてアクセスします。この環境は、秘密の議論グループ、違法取引、安全な通信手段を支えています。
4. アクセス性の違い: サーフェスサイトを見つけるのは、Googleで検索するのと同じくらい簡単です。ほとんどのディープウェブページでは、ユーザー名とパスワード、またはページの実際のアドレスが必要です。対照的に、ダークウェブのリソースには、匿名ネットワーク内で動作する特定のソフトウェアまたはダークウェブ検索エンジンの助けがなければアクセスできません。こうした独特のアクセス手順を学ぶ際、多くの初心者は「ダークウェブとは何か？」と疑問を抱きます。これは、単純でオープンなサーフェスウェブとはかなり異なります。
5. コンテンツの多様性: サーフェスウェブは記事、ブログ、ECサイトで構成される一方、ディープウェブには個人情報、パスワード保護された文書、内部ネットワークが含まれます。一方で、ダークウェブサイトには、政治活動家のための議論フォーラムから麻薬市場まで、あらゆるものが含まれる可能性があります。その範囲は非常に広く、ダークウェブ上の活動がかなり有用かつ合法である場合もあれば、完全に違法である場合もあることを示しています。
6. セキュリティ上の含意: Surface Web の大部分、さらには Deep Web でのやり取りの多くは安全ですが、Dark Web は匿名性があるため、リスクがより高くなります。ここは、脅威アクターが盗まれたデータやハッキングツールを売買したり、互いに連携したりする場所です。企業は、ダークウェブスキャンサービスを使用して、盗まれた認証情報やその他の事業内の知的財産を追跡します。Dark Web と Surface Web の分類が役立つのは、組織のデータが Dark Web に移動した際に、どれほどのリスクにさらされるかを説明できる点です。
7. 認識と合法性: ディープウェブはほとんど無害である一方、ダークウェブはブラックマーケットやハッカー集団のために不穏なイメージを持たれています。この種のサイトは、大規模な麻薬犯罪者やクレジットカード詐欺犯が逮捕された際に、たいてい注目を集めます。しかし、ダークウェブサイトにも、たとえば政治的反体制派の通信のように、多くの合法的活動が存在します。この場合、隠されているすべてのコンテンツを本質的に違法だと捉えることは、ダークウェブの微妙な側面を見落とすことになります。

ダークウェブはどのように機能するのか？

ダークウェブはオニオンルーティングによって機能します。これは1990年代半ばに米国海軍調査研究所の研究者によって構築され、2002年にオープンソースのTorソフトウェアとして公開されました。その仕組みは、なぜアトリビューションが難しく、なぜテイクダウンに何年もかかるのかを説明しています。

1. Torクライアントは、グローバルなプールからボランティア運営のリレーを3つランダムに選び、定期的に切り替えます。
2. トラフィックは、オニオンのように、リレーごとに1層ずつ、3層で暗号化されます。
3. 各リレーは自分の層だけを復号し、直前のホップと次のホップだけを把握します。あなたのIPアドレスと宛先の両方を知るリレーはありません。
4. .onionサービスには出口リレーがありません。クライアントとサービスはそれぞれ共有のランデブーポイントへの回線を構築するため、互いの場所を知ることはありません。
5. アドレスは暗号学的公開鍵から導出された56文字の文字列であり、従来のDNSでは解決されません。

テイクダウンは運営者のミスから生じます。再利用されたメールアドレス、追跡可能な支払い、使い回されたインフラなどです。Europolを伴う米国主導の作戦が AlphaBayを押収した2017年7月、当時運用中で最大のダークウェブマーケットプレイスだった同サイトについて、捜査当局はサイト初期の自動メッセージに残されていた個人用メールアドレスを通じて管理者を特定していました。Torの暗号化は破られませんでした。こうした習慣が、ダークウェブサイトの見た目を形作っています。

より深い脅威インテリジェンスを得る

SentinelOneの脅威ハンティングサービスWatchTowerが、どのようにしてより大きな洞察を導き出し、攻撃に打ち勝つかご覧ください。

さらに詳しく

ダークウェブはどのように見えるのか？

ほとんどのダークウェブサイトは文字情報が多く、見た目は簡素で、動作も遅いです。これは、各ページの読み込みが複数のリレーを経由し、強化されたTor設定が、現代のサイトを高速にするスクリプトや画像をブロックするためです。

削除された機能が1つ増えるごとに、匿名性解除への経路がさらに1つ閉じられます。そもそもそのインターフェースに到達するには、意図的な設定が必要です。

ダークウェブに安全にアクセスする方法

アクセスは閲覧の判断ではなく、影響範囲を伴う調査タスクです。そこへ行く理由があるのは、アナリスト、不正調査担当者、インシデントレスポンダーです。ネットワーク上のそれ以外の全員にはその必要がありません。許可する場合は、誰かがブラウザを開く前に境界を設定してください:

1. クライアントとしてのTor Browser。 Torは無料のオープンソースであり、通常のブラウザでは解決できない.onionアドレスを解決します。ダウンロードはTor Projectからのみ行ってください。検索広告経由で拡散されるクローンインストーラーは継続的な問題です。
2. A VPN をTorの前段に配置すること。 これにより、ISPからTorの使用事実を隠せるほか、企業にとってより重要なのは、接続に企業のIP空間を含めないようにできることです。アトリビューションは双方向に働きます。ログ内で企業アドレスのブロックを見つけたマーケット運営者は、誰が監視しているのかを把握できます。
3. 分離されたマシン。 専用の仮想マシンまたは分離された調査ネットワークにより、セッションを本番用認証情報や内部システムから切り離せます。 ネットワークセグメンテーション は、侵害された調査ホストが到達できる範囲を制限するコントロールです。
4. 検証済みアドレスのみ。 権威あるインデックスは存在せず、ログイン情報を収集するために実在するマーケットを模倣したクローン.onionサイトは一般的です。無作為なディレクトリではなく、インテリジェンスチームがすでに検証したアドレスのみを使用してください。
5. 文書化されたポリシー。 閲覧自体は米国および欧州の大半で合法ですが、行為は別であり、一部の法域では匿名化ネットワークを完全に監視または遮断しています。どの役割が、どこからアクセスでき、何とやり取りしてよいかを事前に定義してください。

手動アクセスには限界があります。1人のアナリストが読めるフォーラムはせいぜい数件ですが、重要な露出は数百に分散しており、その大半は招待制です。その簡素なインターフェースの内側で存続しているのは機能する経済圏であり、それを大規模に読み取ることは収集の問題です。

ダークウェブには何があるのか？ 見つかるもの

ダークウェブ上のものは、監視プログラムがそれぞれ異なる方法で扱う3つのグループに分類されます。アクセスを販売するマーケット、盗まれたデータを公開するリークサイト、そして匿名性がなければ運用できない正当なサービスです。

サイバー犯罪マーケットとサービス

ダークウェブのマーケットプレイスは運用上重要な部分であり、1つの盗まれたパスワードを、価格、売り手、買い手を伴う商品へと変えます:

• 盗まれた認証情報: infostealerログ、セッションクッキー、および アカウント乗っ取り 攻撃の背後にあるIDパッケージ。
• Ransomware-as-a-service: 低スキルの攻撃者が収益の一部と引き換えに暗号化ペイロードを展開できるアフィリエイトプログラム。
• Initial access brokers: 組織に侵入して足掛かりを再販する売り手であり、企業VPN認証情報はその中でも特に高額です。
• Exploit kits: malware ビルダー、ローダー、 zero-day exploits、およびレンタル型の攻撃インフラ。

これらのいずれも組織名を直接挙げる可能性があり、その結果、マーケット監視は実用的なインテリジェンスになります。

リークサイトとデータダンプ

恐喝グループは、支払いを拒否した被害者から盗んだファイルを公開する専用の.onionリークサイトを運営しており、そうしたダンプには日常的に内部認証情報、財務記録、技術文書が含まれます。

これらのサイトは二重の役割を果たします。被害者に圧力をかける一方で、アフィリエイトに対して能力を宣伝します。REvilは、KaseyaのVSAソフトウェアに対する2021年7月のzero-dayキャンペーンと並行して、まさにその構成を運用していました。この攻撃はマネージドサービスプロバイダーを通じて約1,500社に到達し、7,000万ドルを要求しました。 CISAとFBIは共同ガイダンスを発行しました 影響を受けたプロバイダー向けに数日以内に。

正当かつ保護されたコンテンツ

ダークウェブトラフィックのかなりの割合は、安全が匿名性に依存する人々に役立っています。 SecureDrop プラットフォームは、The New York Timesを含む報道機関で.onionアドレスを運用しており、情報提供者が匿名で文書を提出できるようにしています。また、BBCは検閲国の読者向けに報道内容をミラーしています。

プライバシーコミュニティと、公開の open source intelligence 記録を支える学術クローラーもそれを共有しています。どちらの集団も同じネットワークに依存しているため、一律のブロックはセキュリティ戦略ではありません。実際にそのネットワークから自組織側に到達するものは、より限定的で、特定もしやすいものです。

組織が直面するダークウェブのリスク

認証情報の露出こそが、ダークウェブ上の活動を自組織ネットワーク上のインシデントへと変える要因です。重要インフラ組織に対する143件の評価全体で、CISAは有効なアカウント (T1078) が最も一般的に成功した 攻撃手法であり、成功した試行の41%を占めることを確認しました。盗まれた認証情報こそが、まさにダークウェブのマーケットで売られているものです。

DarkSideは、ダークウェブのフォーラムで参加者を募り、独自のリークサイトを運営していたransomware-as-a-service集団で、2021年5月に侵害された1つのVPN認証情報を通じて、米国東海岸最大の燃料パイプラインを数日間停止させました。Colonialは約75ビットコインを支払い、その後FBIは追跡して押収しました そのうち63.7を公開台帳を通じて。

追跡すべきダークウェブ上の露出:

• 認証情報の使い回し: サードパーティの侵害で漏えいしたパスワードにより、それが使い回されていたあらゆる場所で企業アカウントが突破されます。
• サードパーティデータ: ベンダーが侵害されると、自社システムが無傷のままでも、ダークウェブのリークサイトに自社データが掲載される可能性があります。
• ブランド悪用: phishing kits が自社のログインページ、類似ドメイン、偽ポータルを標的に作成され、公然と取引されています。
• 攻撃前の標的設定: アフィリエイトが標的選定について議論するため、何かが暗号化される前に自社名が現れることがあります。
• 内部脅威のシグナル: 従業員が時折宣伝します 販売用の内部アクセスを、内部からの早期警告として。

これらはそれぞれ適切な収集によって観測可能であり、また Singularity Identity は、漏えいした認証情報が誰かに使用された瞬間にフラグを立てることで、収集で見逃したものを捉えます。ほとんどのチームはそのどちらも備えておらず、その主な理由は根強いいくつかの誤解にあります。

よくあるダークウェブの誤解を正す

正確なメンタルモデルは、ダークウェブ監視の意思決定を変えます。以下の前提は、通常この問題を絶望的または無関係に見せることで、セキュリティプログラムを誤った方向へ導きます。

最後のものが最も大きな代償を伴います。なぜなら、それはネットワーク上にいる人々の半分と、彼らがそこを離れられない理由を見えなくするからです。

脅威インテリジェンスの強化

SentinelOneの脅威ハンティングサービスWatchTowerが、どのようにしてより大きな洞察を導き出し、攻撃に打ち勝つかご覧ください。

さらに詳しく

人々はなぜダークウェブを使うのか? なぜそれは存在するのか?

人々は、犯罪的な取引を隠すため、あるいは監視や身体的危険から逃れるためにダークウェブを利用します。これらの動機は相容れませんが、どちらの集団も同一の匿名性保証に依存しています。脅威モデルではその点を考慮する必要があります。

犯罪者がそれを利用する理由

犯罪者がダークウェブを利用するのは、違法取引における最も難しい問題、すなわち自分が誰かを明かさずに見知らぬ相手に販売することを解決できるからです。評判スコア、エスクロー、紛争フォーラムが、通常は身元が提供する信頼を補い、暗号通貨が支払いを決済します。その仕組みによって、単一の data breach が、侵害そのものが収束した後も何年にもわたって利益を生み続けることが可能になります。

正当な利用者がそれに依存する理由

ジャーナリスト、反体制活動家、虐待の被害者は、身体的安全のためにダークウェブに依存しています。なぜなら、標準的なメールやソーシャルプラットフォームは、誰が誰にいつ連絡したかを明らかにするメタデータを漏らすからです。Torはこうした利用者を念頭に設計されました。米国政府の資金提供も、まさにその理由によるものでした。1つの保証が両方の集団に役立つため、用語は混同されたままになっています。

ブラックウェブとその他の代替用語

black web、black website、dark networkはいずれもdark webを指しており、報告書で使用すべき標準的な技術用語であり続けているのはdark webです:

• black webとblack website: 非公式な言い回しで、一般的な報道でよく使われます。
• dark network: 匿名化インフラストラクチャそのもので、主にTorを指し、 I2P やFreenetがより小規模な代替手段です。
• Darknet: そのインフラストラクチャ上で動作する特定の市場またはフォーラム。

一度訳語を統一しておけば、役員がblack webについて尋ねたときに、アナリストが.onionのカバレッジについて答えるような混乱を防げます。

SentinelOneでダークウェブを監視

ダークウェブ監視は、継続的に実行され、自社の資産にマッピングされて初めて役立ちます。週次スキャンの結果が返る頃には、認証情報はすでに使用され、データは拡散し、キャンペーンは進行中です。

SentinelOne独自の収集基盤は、ダークウェブのフォーラムや閉鎖的なコミュニティをカバーし、侵害の指標に加えて、認証情報の露出やキャンペーン計画に関する組織固有の検出結果を返します。 Wayfinder threat hunting は、そのフィードを人間のアナリストと組み合わせるため、インジケーターは属性情報とコンテキストが付いた状態で届きます。

Singularity AI SIEM は、そのインテリジェンスをお客様のテレメトリーと Singularity Data Lake 上で相関分析し、漏えいした認証情報をお客様の環境に関する具体的な問いへと変換します。 Purple AI はその後、自然言語による自律型のマルチステップクエリとして調査を実行します。IDC Business Value調査では、Purple AIユーザーは脅威を63%速く特定し 手作業で対応するチームよりも55%速く修復しました。

Singularity Identityと Singularity Endpoint は、露出した認証情報が使用された際にループを閉じます。Behavioral AIがimpossible-travelパターンを検出し、プラットフォームは攻撃者が足場を築く前にセッションを自律的に隔離でき、Storylineはすべてのプロセス、接続、横方向の移動を1つのタイムライン上で再構築します。

Latioは SentinelOneを、同社初のSOCプラットフォーム評価となる2026年Security Operations Market ReportにおいてSOC Platform Leaderに選出しました。

SentinelOneのデモをリクエスト して、犯罪市場インテリジェンスがエンドポイントおよびアイデンティティ対応にどのように組み込まれるかをご確認ください。

ダークウェブの未来

ダークウェブは、新たな匿名化技術、法規制の変化、そしてユーザーのニーズを背景に、今後も発展し続けるでしょう。その将来を予測するには、暗号化、規制、暗号通貨のトレンドを分析する必要があります。

将来の隠されたインターネットがどのようなものになるかを示す5つの兆候を紹介します。

1. 進化する匿名化プロトコル: 高度な暗号化手法、より優れたルーティングシステム、そして今後登場するプライバシーネットワークによって、ダークウェブはさらに強化される可能性があります。科学者たちは現在、将来のコンピューティングの進歩に対する安全性を確保するため、耐量子計算機暗号の活用を実験しています。この複雑性の増大により、法執行機関がダークウェブに侵入することは困難になり、ダークウェブが依然として非常に解読しにくいことを示しています。
2. 代替ネットワークの台頭: 現時点ではTorが最も人気ですが、I2Pのような他の匿名化ネットワークも今後さらに普及する可能性があります。これらは、高速性からストリーミングとの高い互換性まで、それぞれ独自の特性を備えています。こうした代替手段は、秘匿コンテンツをホストするさまざまな可能性を提供するため、ダークウェブサイトの分類を広げます。より断片化された隠れたインターネットでは、ダークウェブをスキャンおよび監視するために異なるアプローチが必要になる可能性があります。
3. 暗号通貨の革新: 暗号通貨とダークウェブの関係は、より多くのコインが匿名送金を促進するにつれて、さらに進化していく可能性があります。ZcashやBeamのようなプライバシー重視のブロックチェーンの存在は、匿名の金融手段に対する需要が依然として存在することを示しています。一方で、政府も、ダークマーケットを減速させる、あるいは再定義するデジタル通貨の開発で後れを取ってはいません。
4. より厳格な規制: 各国の議会では、ダークウェブ上のツールの使用を禁止または規制する法案の可決が検討されています。例えば、提案では、バックドアの実装やデータ保持の義務化を通じて、暗号化や匿名化サービスを対象とすることが目指されています。これらの政策はインターネットの一般的な利用を減少させる可能性がありますが、犯罪者による利用の増加を招くおそれがあります。ダークウェブは、純粋に犯罪的なものと純粋に合法的なものという2つの明確な極に分かれる可能性がありますが、その間には特化したニッチが存在するでしょう。
5. 企業インテリジェンスの成長: より多くの企業が、データ漏えいを防止し、新たな脅威を認識するために、ダークウェブに注目すると予想されます。これにより、補償対象となる前に、組織が有効なスキャンソリューションを導入していることの証明を求めるようになっています。その結果、セキュリティ担当者やブランド保護チームなどが適切な目的でダークウェブを利用するケースは、大幅に増加するでしょう。このような専門化が、将来的に隠れたオンラインコミュニティの性質に影響を与える可能性があります。