ダークウェブ監視の幻想：なぜ「無料で信頼できる」漏洩データは存在しないのか

エグゼクティブサマリー

私たちが当初答えようとしたのは、一見単純に見える製品上の問いでした。社内のセキュリティプラットフォームにダークウェブおよび漏洩認証情報の監視を追加すべきか。そして、それを支える最も安価で信頼できるデータソースは何か。

私たちはこの市場をマッピングするために、相当の労力を費やしました——カテゴリの主要ベンダー、評判の確立した参照レベルのサービス、無料・有料の漏洩データ API の長いリスト、グレーマーケットの認証情報検索エンジン、そしてネット上に出回る巨大な漏洩認証情報コーパスを自前でホストするという選択肢まで。

結論として、エンジニアリングは最も簡単な部分でした。漏洩検索 API を検知(findings)パイプラインに組み込むのは、確立された数百行のコードにすぎません。私たちを立ち止まらせたのは、コードの周りにあるすべてでした——盗まれた認証情報を保有することの法的リスク、他人の個人データを処理し始めた瞬間に付随するデータ保護義務、攻撃者が使うツールと見分けのつかないサービスの上に構築することのレピュテーションリスク、そして、実際に規約を読み、エンドポイントを検証してみると、「無料で信頼できる」という組み合わせがほぼ幻想にすぎないという、居心地の悪い発見です。

本稿は、私たちの調査結果をまとめたものであり、あえてベンダー中立に保っています。同じ「自作 vs. 購入 vs. 断念」の判断を検討しているセキュリティ・プラットフォームチームに向けたものです。要約すると:「無料」を脅威インテリジェンスにおける最も高価な言葉とみなし、自分で生成したのではない平文の認証情報を決して保有せず、そして一件でもレコードを取り込む前に、その合法的根拠について法務の承認を得ること。これらの基準を満たせないなら、責任ある選択——私たちが取った選択——は、それを作らないことです。

第1部:「ダークウェブ監視」が実際に約束するもの

サプライヤーを評価する前に、このカテゴリが何であるかを正確に定義しておくと役立ちます。というのも、そのマーケティング表現は意図的に広範だからです。

商用形態の「ダークウェブ監視」は、通常、デジタルアタックサーフェス分析(Digital Attack Surface Analysis、DASA)または「デジタルリスク保護」という総称の下で売られます。各ベンダーの売り文句は一貫しています。あなたが気にかけているもの——メールのドメイン、特定の従業員のメールアドレス、ユーザー名、IP レンジ、電話番号——をサービスに渡すと、サービスはそれらの「要素」を巨大な漏洩データベースと継続的に照合し、同時に隠れフォーラム、マーケットプレイス、ペーストサイト、チャットチャンネルをクロールします。あなたのものが現れれば、アラートが届きます。

このカテゴリの代表的な製品は、通常、次のような機能の何らかの組み合わせを謳います:

• ダークウェブ/ディープウェブ監視——闇市サイト、ピアツーピアネットワーク、隠れチャットルーム、ボットネット、IRC、非公開フォーラムを横断。
• 漏洩認証情報の検出——監視対象のドメイン、メール、ユーザー名、IP、電話番号について、漏洩メタデータ(日付、深刻度、カテゴリ)付きで。
• リアルタイムアラート——要素は継続的に再スキャンされ、新たな侵害が現れると即座に通知。
• タイポスクワッティング/ブランドなりすまし検出——フィッシングに使われる類似ドメインをフラグ。
• メールセキュリティ体制チェック——ドメインの SPF/DMARC レコードと、そのメールサーバーの STARTTLS 対応を評価。
• 証拠となるレポート——スクリーンショットと説明を含む漏洩レポート。
• 脅威インテリジェンスの可視化——資産と脅威を結びつけるグラフィカルなビュー。
• API とホワイトラベルのオプション——マネージドサービスプロバイダー(MSP)がその機能を再販したり、SIEM/XDR に取り込んだりできる。

これらの製品の背後にあるデータベースは、通常「180 億~230 億レコード」のオーダーで宣伝されます——この数字はソースや時期によって大きくぶれ、懐疑的に扱うべきものです(その理由は第2部で)。

紙の上では、これは魅力的で、しばしば低コストの、セルフサービスの製品です。しかし、監視製品をダッシュボードではなくデータサプライヤーとして考えている人にとって、注目すべき繰り返し現れる細部があります。こうしたベンダーの多くは「API アクセス」を大々的に宣伝しながら、公開された一次情報の API リファレンスをまったく提供しません——エンドポイント一覧も、認証方式も、レスポンススキーマも、レート制限もなく——営業の商談に入るまでは。宣伝される能力と、文書化された契約との間のこのギャップは、このカテゴリ全体を貫いています。

本節の目的は、いずれかのベンダーを名指しすることではなく、この約束の形を確立することです。この領域のどの製品も、売っているのは同じ中核ループです。あなたの識別子 → 漏洩データと照合 → アラート + レポート。興味深いものはすべて、「漏洩データ」という言葉の中にあります——それがどこから来るのか、どれだけ新しいのか、そして——核心として——それを保有し処理することが法的に何を意味するのか。

第2部:漏洩データは実際どこから来るのか

サプライヤーを評価するには、その原材料を理解しなければなりません。なぜなら原材料は、その上に構築されるすべての価値(鮮度と正確性)とリスク(合法性と機微性)の両方を決定するからです。

漏洩認証情報データは、大きく分けて三つのソースから来ます。鮮度と危険性の昇順で:

1. 集約型の漏洩コンピレーション。これらは巨大な「コンボリスト(combolist)」——数百から数千の過去の漏洩から組み立てられた メール:パスワード ペアのファイルです。長年にわたり、いくつかの巨大なコンピレーションが公開流通してきました。そのうちの一つは約 27 億行、数億件のユニークアドレスを含むと報じられ、後にはさらに大きな集約が、数千のフォルダに分散した数百億レコードを含むと報じられました。

これらのコンピレーションについて最も重要な事実は:それらはリサイクルされたものであり、新しいものではないということです。各報道は一致して、そのデータの大部分がより古い漏洩からすでに公開されていたと指摘しています。それらは高度に重複し、フォーマットが不揃いで、パースの残骸に満ちています。監視サービスの燃料として——監視は本来新しい露出を教えるべきもの——それらはほとんど役に立ちません。それらが教えてくれるのは、あるユーザーが何年も前に漏洩したという事実であり、それはユーザー自身がほぼ確実にすでに知っていることです。これが「数十億レコード」といったマーケティング数字を疑うべき理由でもあります。膨大な生レコード数は、鮮度、重複排除、正確性についてほとんど何も語りません。

2. コンボリストとインフォスティーラーの「スティーラーログ(stealer logs)」。これが新しく、危険な側です。インフォスティーラー型マルウェアは、感染したその瞬間に被害者のブラウザに保存されたすべてを収集します:ユーザー名、平文パスワード、オートフィルデータ、そして——最も危険なことに——多要素認証を完全に迂回できる有効なセッションクッキーです。古い漏洩ダンプとは異なり、スティーラーログは感染のまさにその時点で認証情報を捕捉し、これらのログは窃取から一~二日以内に犯罪チャネルで売買されます。

これは唯一、本当に新しく、本当に監視に役立つデータです。しかし定義上、それは活動中の犯罪サプライチェーンから直接得られ、平文パスワードとセッショントークンを伴います——あなたのデータベースに置きうる最も有毒なペイロードです。

3. 直接ソースからの漏洩ダンプ。個別の漏洩事案。研究者が守秘義務契約の下で入手する場合もあれば、フォーラムで売買される場合もあります。評判の良いサービスはそれをキュレーションし検証します。無責任なサービスは、手に入れられるものを何でも転載ホストするだけです。

したがって、鮮度のスペクトルは「古いがまあ安全」(古いコンピレーション)から「新しいが極めて危険」(スティーラーログ)まで広がります。そしてこのカテゴリ全体を定義する罠がまさにここにあります。価値と危険は正の相関にあります。監視製品にとって本当に役立つデータは、まさに、入手・保有・再配布することが法的にも倫理的にも最も厄介なデータなのです。

第3部:「無料で信頼できる」の緊張関係

当初の依頼は、無料で信頼できるデータソースを見つけることでした。この領域を調べ尽くした後の正直な結論は:この二つの言葉は緊張関係にあり、なぜかを理解するには、サプライヤーの候補リストではなく、一つのフレームワークが必要だということです。

三つの機微性ティア

すべての漏洩データソースは、一回の検索が何を返すかに基づいて、三つのティアのいずれかに位置づけられます。この単一の区別が、この領域全体で最も重要な設計判断です:

• A. このパスワードは侵害されているか? — 答える問い: 「このパスワードは何らかの漏洩に現れたか?」——識別子は一切添えない; 機微性: 最低——匿名・安全; 典型的なアクセス方法: 無料、キー不要(k-匿名性)
• B. このアカウントは漏洩に含まれるか? — 答える問い: 「このメール/ドメインは漏洩 X に現れたか?」——識別子を入力、漏洩名を出力、パスワードは含まない; 機微性: 中——実在の識別子を照会する; 典型的なアクセス方法: 有料 API キー、できれば k-匿名性
• C. 平文パスワードは何か? — 答える問い: 「このアカウントの平文の認証情報をくれ」; 機微性: 最高/極めて危険; 典型的なアクセス方法: 無料~有料のグレーマーケット;あなたは今や盗まれた認証情報を保有している

ティア A が安全なのは、それが身元から切り離されているからです——あなたが尋ねるのは抽象的なパスワードであって、特定の人物ではありません。ティア B は正当な監視の中核です——「あなたのアカウントが漏洩に現れました、パスワードを変更してください」——そして責任ある版は決して実際のパスワードを返しません。ティア C は法的責任が潜む場所です:任意の第三者について メール:平文パスワード のペアを渡すサービス群です。

信頼性と無料の間の緊張は、これらのティアにほぼ完璧に対応します。無料 + 信頼できるが存在するのはティア A だけです。まっとうに行われるティア B は費用がかかります。ティア C は「無料」が再び現れる場所です——そしてそれが再び現れるのは、まさにこれらのサービスが、まっとうなベンダーが手を出さない法的・倫理的なグレーゾーンで運営されているからです。

ティア A:本当に無料で、本当に安全な層

「無料で信頼できる」が疑いなく成り立つ唯一の場面は、匿名のパスワードチェックであり、それは k-匿名性と呼ばれる技術の上に構築されます。クライアントはローカルでパスワードをハッシュ化し、そのハッシュの先頭の数文字だけを API に送り、そのプレフィックスを共有するハッシュサフィックスの集合を受け取り、照合をローカルで完結させます。パスワードは——完全なハッシュさえも——決してマシンを離れません。このモデルの最も有名な実装は、無料・無制限・API キー不要で提供されており、それを利用するまっとうなサービスは、あえて平文パスワードをメールアドレスと隣り合わせに保存しないようにしています。そうすることは「リスクが大きすぎる」からです。

これこそが手本とすべきモデルです。プライバシー露出ゼロ、データ保有責任ゼロで、本当に役立つ問い(「このパスワードは既知の侵害を受けているか?」)に答えられます。そして注目すべきことに、それは同時に、無料かつ安全な唯一のティアなのです。

ティア B:信頼できる識別子検索——まっとうだが有料

特定のアカウントやドメインが漏洩に現れるかを確認することは正当な監視の中核であり、「無料」が尽き始めるのがここです。この層のまっとうで、文書化の行き届いたサービスは API アクセスに課金します——小規模利用なら通常、月あたり一桁ドルから始まり、クエリのスループットとともに上がっていきます。その中でも最良のものは、ある識別子がどの漏洩に現れたかだけを返し、パスワードそのものは決して返しません。中にはメール検索の k-匿名性モードを提供し、完全なアドレスを送信せずに済むものもあります。

組織にとって、この層の目玉機能はドメイン検証検索です。あるドメインを支配していることを証明すれば(DNS レコード、メール、またはファイルで)、サービスはそのドメイン配下で漏洩したことが判明している ユーザー@あなたのドメイン のアドレスをすべて返します。これがプライバシーを保つモデルです——あなたは従業員名簿を第三者にアップロードするのではなく、あなたが支配するドメインについてすでに何が露出しているかを尋ねているのです。一部のサービスは、ドメインあたりの漏洩アドレス数が小さな閾値を下回る場合はこの機能を無料で提供し(実際にはこれが相当な割合のドメインをカバーします)、それを超えると適度に課金し、MSP 向けのバルクドメイン検証 API を提供します。

この層には、信頼できる無料またはフリーミアムの選択肢もあります——漏洩の名称と露出したフィールドの種類を返すが平文は返さない、オープンソースのプロジェクトや公開 API を含みます。オンデマンドの、個別の検索には確かに役立ちます。しかし、それらにはバルクエンジンとしては失格となる二つの共通する制約があります。一つは、日次/時次のハードなレート上限——インタラクティブな利用には十分でも、多数のドメインに対する毎晩の監視にはとても足りません。もう一つは、そのコーパスが独立してキュレーションされたものではなく、公開流通しているダンプから自前で収集されたものだという点です。中には単一メンテナーの持続可能性リスクを抱えるものもあります。上限を引き上げる有料層を提供するものは、その価格がより確立された有料サービスに収斂します——その時点で、評判と文書の質が決め手になります。

最後に、消費者向けサービスについて一言:一部の著名なブラウザやアイデンティティのベンダーは、エンドユーザー向けに漏洩通知ダッシュボードを提供していますが、これらは消費者向け製品で、開発者向け API はありません。そしてこの領域では、少なくとも一つの著名な有料サービスが 2025 年末に提供を終了しました。そうしたダッシュボードの背後にあるデータが欲しいなら、その基盤となる漏洩通知サービスに直接あたることになります。

ティア C:グレーマーケット——「無料」が危険になる場所

次に、任意のメールアドレスについてティア C の平文パスワードを、時に安価に、あるいは無料で返すサービス群があります。注意しなければ、「無料で信頼できる」の探索が最終的に行き着くのがここです——そしてまさにここが、あなたが決して行くべきでない場所です。

個々のサービスを名指しして評価するよりも——それは不公平でもあり、賢明でもありません——、このカテゴリとその一貫した特性を記述するほうが有用です:

• 平文を返す。その決定的な特徴は「無検閲の結果」——実在のパスワードが実在の識別子と隣り合い、しばしばメール、ユーザー名、IP、電話、住所にまたがります。
• 攻撃志向の機能をしばしば露出する——たとえばバルクの メール:パスワード「コンボ」検索で、その主な用途はクレデンシャルスタッフィングの検証です。
• 通常、購入者の審査を行わない——KYC もなく、アクセスを防御目的や法執行目的に限定する制限もありません。誰でも購入できます。
• その「規約」は、乱用を制約するのではなく、乱用に対する一切の責任を否認するものであることが多い——たとえ同意なき個人データの再配布を制限していても、その制限は、あなたがその上に構築しようとしているまさにその製品を直接禁じているかもしれません。
• 信頼性とデータの出所が不透明。古い静的コンピレーションの上に構築されているものもあれば、自ら収集したのではないデータを転載しているものもあり、単に衰退または放棄され、そっくりのドメインが訪問者を別の場所へリダイレクトするものもあります。

グレーマーケット全体のパターンは明白です。これらはまさに、アカウント乗っ取りやクレデンシャルスタッフィングの攻撃者が使うのと同じ種類の平文認証情報検索エンジンです。そのようなサプライチェーンの上に防御的製品を構築することは、その法的・レピュテーション上のリスクプロファイルを丸ごと引き受けることを意味します——信頼を価値提案とするあらゆる製品にとって、それは自己矛盾です。

自前ホスティングの誘惑

最後の「無料」のアイデアは、エンジニアにとって最も魅力的で、実際には最も危険なものです。API を完全に迂回し、大きなコンピレーションをダウンロードし、自分でインデックスを張り、自分で検索を回す。クエリ単価もレート制限もなく、完全な支配。

それはあらゆる軸で崩れます:

• データが古い。前述のとおり、大きなコンピレーションはリサイクルされた過去のダンプです。あなたは「監視」製品を、何年も前に新鮮でなくなったデータの上に築くことになります。
• ストレージと運用のコストが現実に発生する。これらのコンピレーションはテラバイト級に達し、近年露出した認証情報クラスターは複数テラバイトに及びます。その規模を検索クラスターにインデックスするだけで月あたり数千ドルかかり、しかもそれは、フォーマットが不揃いで、専門の研究者でさえ完全には重複排除できないダンプを正規化する多大なエンジニアリング労力を含みません。
• そしてそれはあなた自身を標的にする。ここにブラックユーモアのような皮肉があります。近年最大級の漏洩見出しのいくつかは、まさに誰かの設定を誤った、自前ホストの、認証なしの、平文認証情報で満ちたデータベースが数十億レコードを漏らしたというものでした。平文認証情報ストアを構築することは、下記のリスクを負うだけではなく——文字どおり、あなた自身を次の漏洩の見出しにするのです。

これが、私たちが実際に立ち止まった理由へと導きます。

第4部:コンプライアンスと法的責任という清算

技術的な評価を「ノー」に変えたのが、まさにこの部分です。上記のすべての問題——古さ、レート制限、不透明な出所——は、慎重になる理由です。コンプライアンスと法的責任の問題は、高く高価なハードルを越えられない限り、そもそもそれを構築しない理由です。

(以下はリスクの全体像に関する一般的な概観であり、法的助言ではありません。具体的な事情は法域や事実により異なります。有資格の弁護士にご相談ください。)

保有そのものが問題になりうる

最も直感に反し、最も重要な発見は:不正な出所の漏洩データをダウンロードして保有することは、たとえ再配布せず、意図が純粋に防御的であっても、法的リスクを生じさせうるということです。

「自分たちで漏洩検索を作ろう」というまさにこの問いに対して、法的解説はこの点で一致しています。不法な手段で得られた個人データを保有すること——再配布するか否かにかかわらず——は、コンピューター不正利用に関する法令(たとえば米国のコンピューター詐欺・不正利用防止法 CFAA)や各州のプライバシー法に抵触しうる、というものです。匿名化ネットワークを通じて入手したり、不正なマーケットで購入したりすれば、盗難情報の取引に関する責任を含め、さらなるリスクが加わりえます。セキュリティ実務者は長らく、ある業界の論評が「微妙で、完全には明確でない法的な一線」と呼んだものの上を歩いてきました。要点となる原則はこうです:防御的な目的は、不法な取得や保有を正当化しない。

データ保護法:合法的根拠がない = 違法な処理

露出した個人の中に包括的なデータ保護法制の対象者が一人でもいれば——そしてどんな漏洩コーパスにも、多くがそうです——、あなたがそのデータを取り込み保存した瞬間、あなたは管理者(controller)として個人データを処理していることになります。EU/英国の GDPR のような法制は、その処理に合法的根拠(同意、契約、法的義務、重大な利益、公共の任務、または正当な利益)を要求します。第三者の盗まれた認証情報の山を保有していて、あなたには通常、そのどれもありません。合法的根拠がない場合、法律はあなたにそのデータを削除することを要求します——そして一部の法域では、個人データの不法な取得や取り扱いは、単なる規制違反ではなく刑事犯罪です。

他の法制(たとえば米国の州プライバシー法である CCPA など)も、並行する問題を生みます。同じ「あなたにはこのデータを保有する正当な根拠がない」という問題が繰り返し現れます。正確な輪郭は法域によって異なり、法務のレビューに値します——しかし方向性は一貫しています。

再配布は問題を何倍にもする

もしあなたの製品が漏洩データを顧客に見せるなら——そしてそれこそが監視製品の存在意義です——、あなたは保有から再配布へと進んだことになります。グレーマーケットのサプライヤー自身の利用規約でさえ、影響を受けた個人の同意なく個人情報や機微情報を再配布することを禁じている場合があります——その条項は、文字どおり読めば、あなたがその上に構築しようとしているまさにその製品を禁じています。そして、漏洩した PII を顧客に再配布することのデータ保護義務は、サプライヤーではなくあなたに降りかかります。

平文を保有することのセキュリティ責任

平文の認証情報を保存することは、あなたを高価値の標的にし、二次漏洩の源にもします。これは仮定の話ではありません——それは最大級の認証情報露出の見出しの背後で繰り返し現れる失敗モードです。だからこそ、市場のまっとうな側は、パスワードをメールと隣り合わせに保存せず、匿名化された k-匿名性ハッシュだけを提供するように設計されているのです。この設計は装飾ではありません——それは事業全体を成り立たせる、荷重を支えるリスク統制です。平文の第三者パスワードを保有することを要求するアーキテクチャは、このカテゴリを存続可能にする唯一の統制を、すでに捨て去っているのです。

レピュテーションとサプライヤーのリスク

最後に、より柔らかいが実在する懸念:豊富なデータを与えてくれる無料または安価なサプライヤーは、例外なく「ハッカー隣接の OSINT」空間に位置します——購入者審査なし、攻撃志向のデュアルユース機能、支払う者なら誰にでも向けたマーケティング、不透明な出所。そのようなサプライチェーンの上にセキュリティ製品——その価値提案のすべてが信頼性である製品——を構築することは、自己矛盾です。顧客、監査人、あるいは規制当局が「あなたの漏洩データはどこから来るのか?」と尋ねたとき、答えが「乱用について責任を負わないと規約に書いてある匿名の検索サイト」であってはなりません。

コンプライアンスのまとめ

まとめると、コンプライアンスと法的責任の全体像は、互いに独立した障壁の積み重ねであり、そのどれか一つでも深刻です:

1. 不正な出所の漏洩データを保有すること自体が法的リスクを生じさせうる——意図は抗弁にならない。
2. 合法的根拠なくそれを処理することは、データ保護法に違反しうるし、一部の法域では刑事犯罪である。
3. それを顧客に再配布することは、データ保護のリスクを重ね、サプライヤー自身の規約に違反しうる。
4. 平文を保有することは、あなたを次の漏洩の見出しにする。
5. 安価なサプライヤーは、信頼を核とする製品とはレピュテーション上、相容れない。

エンジニアリングは一週間の作業でした。しかしこのリストは、その価値には見合わないと私たちが判断した、法的かつ組織的なコミットメントです。

第5部:内向きの仕事 vs. 外向きの仕事

この判断を、私たちのようなプラットフォームが実際に安心して手がけられる類のセキュリティ作業と並べて対比してみることには価値があります。この対比は、なぜ外部の漏洩監視が調査に値したのか、そしてなぜそれが結局のところ、別の、よりリスクの高いカテゴリなのかを明らかにします。

私たちのセキュリティツールの大半は、本質的に内向きです。すでに明確なサービス関係の下で管理されている資産のセキュリティ体制を監査し、是正します:エンドポイントの資産棚卸しと脆弱性体制、エンドポイント保護の健全性、アイデンティティとテナントの衛生(MFA のギャップ、リスクのあるサインイン、特権ロールのレビュー)、デバイスの相関付け、是正ワークフローなど。

そこにあるすべては、一つの決定的な特性を共有しています。監査される対象は、あなたが所有または管理しているものだということです。データはあなたのもの、あるいは顧客のものです。合法的根拠は明確です(あなたは顧客自身のシステム上で、契約されたセキュリティサービスを提供しています)。あなたは他人の盗まれたデータには一切触れません。

ダークウェブ/漏洩監視は、カテゴリとして根本的に異なります。それは外を向き、他人の漏洩に由来するデータ、あなたによる処理に決して同意していない個人に関するデータ、犯罪サプライチェーンから来るデータを見ます。製品としての意味では両者は補完的です——管理下のアカウントが漏洩にも現れていると知ることは本当に有用です——が、両者は明るいコンプライアンスの一線の反対側に位置します。内向きの仕事は、あなたをその線の弁護可能な側にしっかりとどめます。外向きの仕事は、線をまたいでしまいます。

その対比が、最終的に判断を明確にしました。漏洩監視に価値がないわけではありません——価値は実在するが限定的であり、他方で増分的なコンプライアンスと法的責任の負担は大きく、しかもあなたの側の帳簿に永久に残るのです。

第6部:どうしてもやるなら——唯一の弁護可能なパターン

仮に、あなたの組織にとって価値の論拠が十分に強く、断念が選択肢にならないとしましょう。それでも、弁護可能なやり方は存在します。それは狭く、そして主に、あなたが行うことを拒む事柄によって定義されます:

1. 生データを決して保有しない。審査済みで、正規のライセンスを持つ API を利用します——その提供者の事業全体が、漏洩データを合法的に取り扱うことなのです。コーパスをダウンロードせず、ダンプを自前ホストせず、無責任な検索サイトから購入しない。保有の責任は提供者に負わせる。
2. ティア A と B にとどまり、ティア C には決して入らない。パスワード衛生のシグナルには k-匿名性のパスワードチェック(無料、匿名、安全)を、アカウント露出には「識別子を入力/漏洩名を出力」するまっとうな API を使う。平文パスワードを決して取り込まず、表示しない。設計が平文の第三者認証情報を要求するなら、その設計が間違っているのです。
3. 人物をアップロードするのではなく、検証済みのドメインで照会する。プライバシーを保つモデルは、あるドメインを所有していることを証明し、それについてすでに何が露出しているかを尋ねることです——従業員名簿を第三者に送るのではなく。バルク検証付きのドメイン検証検索は、まさにこのために作られており、あなたが提示するのは、あなたが支配するドメインについてすでに公開されているデータだけになります。
4. リスク最小化を軸に設計された提供者を選ぶ。参照すべき姿勢は:平文を保存しない、k-匿名性、明確な受容可能利用規約、そして合法的なデータ調達契約。その姿勢こそが製品です。
5. 一件でもレコードを取り込む前に、合法的根拠について法務の承認を得る。これは任意ではなく、形式でもありません。データ保護とコンピューター不正利用の分析には、あなたの法域、顧客基盤、データフローに固有の、実際の答えが必要です。
6. データを最小化し、透明性を保つ。最小限のもの(どの漏洩、どの日付、あなたのどの識別子)だけを保存し、認証情報そのものは保存しない。何を、なぜチェックするのかをユーザーに伝える。

この弁護可能なパターンが同時に、最も安価でもあることに注目してください。匿名のパスワードチェックは無料、ドメイン検証検索は大半のドメインが位置する規模では無料または安価であり、あなたはあらゆるグレーマーケットのサプライヤーと、あらゆる自前ホスティングのコストを回避しています。責任あるパスと手頃なパスは同じ場所に収斂します——なぜなら、グレーマーケットのパスを「安く」しているものは、まさに、あなたがそもそも負担できない、合法性と安全性における手抜きだからです。

第7部:教訓

同じ評価に踏み込もうとする人のために、要点を蒸留します:

• 「無料で信頼できる」漏洩データはティア A の現象である。パスワードが侵害されているかは、無料かつ安全に確認できる。人物のアカウントが露出しているかを、信頼できる形で、かつ規模を伴って確認することには費用がかかる——それは市場の正直な現状であり、あなたが十分に探し回らなかった結果ではない。
• この領域では価値と危険は相関する。新しく、有用なデータは法的に最も厄介である。安全で安価なデータは監視には古く役に立たない。新しく、無料で、かつ安全な象限は存在しない。
• 罠は保有にある、単なる配布ではない。直感は「見るだけ、共有はしない」だ。法律は気にしないかもしれない——不正な出所の個人データを保有することそのものが、問題になりうる。
• 無責任なサプライヤーはレピュテーションの溶剤である。攻撃者ツールと見分けがつきにくく、購入者審査なしで運営され、規約は責任を否認する。信頼型の製品は、そのような基盤の上には立てない。
• 漏洩ダンプの自前ホストは、あなたを次の漏洩事案にする。ニュースの巨大漏洩の主要な原因は、誰かの自前ホストの平文認証情報ストアだ。それを作ってはいけない。
• 最良のアーキテクチャは拒否によって定義される。生データを決して保有せず、平文を決して保存せず、人物のアップロードで決して照会せず、法務を決して飛ばさない。まっとうなサービスがやらないことこそが、それらを安全にしている。
• ときに、正しいエンジニアリングの判断は、エンジニアリングをしないことである。コードは些末だった。それでも正しい判断は「ノー」だった。障壁が能力ではなくコンプライアンスにあると見抜くこと自体が、シニアなスキルである。

結論

私たちは、ダークウェブ監視をセキュリティプラットフォームに追加する安価で信頼できる方法を探しに行き、それを構築しないと決めて戻ってきました——できなかったからではなく、それをきちんとやるということが、私たちが保有したくない責任を正規の提供者に費用を払って負わせるか、あるいはグレーマーケット——そのデータは盗まれており、そのサプライヤーは説明責任を負わず、その法的リスクはデータがあなたのデータベースに落ちた瞬間にあなたに付着する——に踏み込むか、のどちらかを意味するからです。

ダークウェブ監視というカテゴリは詐欺ではありません——正規の、運営の行き届いたベンダーは存在し、自分の認証情報がいつ漏れたかを知ることには実在する防御的価値があります。しかし「無料の漏洩 API を適当に掴んで繋ぐだけ」という版は、幻想です。マーケティングを剥がせば、無料の選択肢は、安全だが限定的か(ティア A のパスワードチェック)、まっとうだが有料か(ドメイン検証のアカウント検索)、無料だが極めて危険か(グレーマーケット)のいずれかだと分かります。弁護可能でありかつ手頃な唯一のパスは狭く、そして一連の拒否によって定義されます:生データに触れない、平文に触れない、無責任なサプライヤーを使わない、法務が裏付けた合法的根拠なしにデータを取り込まない。

私たちにとって、限定的な増分価値と、永続的なコンプライアンスおよび法的責任の負担とを天秤にかけた結果、答えは、合法的根拠が明確で手が清潔な、内向きのセキュリティ作業を続けること——そして外部の漏洩監視は、事業全体を、そしてリスクアーキテクチャの全体を、そのデータを合法的に取り扱うことの周りに築き上げてきた専門ベンダーに委ねること、でした。

脅威インテリジェンスにおいて最も高価な言葉は、本当に「無料」です。二番目に高価なのは、「とりあえず取っておこう」です。