OSINTとは？情報源、手法、法的な境界線

OSINTは公開情報から作られるインテリジェンスです。何が情報源に当たるのか、中核となる手法、業務の進め方、そして法的・倫理的な境界線がどこにあるのかを解説します。

OSINTはopen source intelligence（オープンソース・インテリジェンス）の略で、誰もが合法的に入手できる情報から作られるインテリジェンスです。対象となるのは、報道、公的記録、企業の提出書類、SNSの投稿、衛星画像、ウェブサイト、そしてそれらが残す技術的な痕跡などです。ここでいう「オープンソース」は、オープンソースソフトウェアとは関係ありません。秘密の情報や秘密裏の手段で得た情報とは異なり、情報源が一般に公開されているという意味です。

この用語は政府の情報機関に由来しますが、現在のOSINTの多くはジャーナリスト、セキュリティチーム、不正対策やコンプライアンスのアナリスト、ブランド保護チーム、研究者によって行われています。こうしたチームの収集面についてはOSINTと調査報道のためのプロキシのページで扱っています。本記事では基本として、OSINTとは何か、情報はどこから来るのか、どのように行うのか、そして境界線はどこにあるのかを解説します。

実務上の定義

最もよく引用される定義のひとつは米国の法律にあります。Fiscal Year 2006（2006会計年度）の国防権限法（National Defense Authorization Act）Section 931は、オープンソース・インテリジェンスを「公開情報から作成され」、「特定のインテリジェンス要求に応える目的で、適時に収集・活用され、適切な受け手に配布される」インテリジェンスと定めています。

この定義のうち2つの点は、政府以外の場面でも重要です。

公開情報は原材料であり、成果物ではありません。 投稿のスクリーンショットは情報です。誰が、いつ、どこから投稿したのか、そしてそれが本物かどうかを把握して初めてインテリジェンスになります。
出発点は要求です。 OSINTは誰かが実際に抱えている問いに答えるものです。たとえば、この取引先は実在するのか、このフィッシングドメインの背後にいるのは誰か、この出来事は動画が主張する場所と時間に本当に起きたのか、といった問いです。問いを持たずに公開されているものをすべて集めるのはため込みにすぎず、それ自体が法的な問題を生みます。

OSINTの情報源

オープンソースはいくつかの大きなグループに分けられます。

情報源の種類	例	典型的な問い
メディア	ニュースサイト、放送、プレスリリース、地方メディア	何が、誰によって、いつ報じられたか
公的記録	商業登記、裁判記録、調達公告、不動産・都市計画の記録	誰がその組織を所有・運営しているか、どのような法的経歴があるか
SNS・コミュニティプラットフォーム	公開投稿、フォーラム、レビュー、動画プラットフォーム	人々が何を語り、何を見せ、何を主張しているか、それはいつか
画像・地図	衛星画像や路上レベルの画像、地図サービス	対象がどこにあるか、変化があったか
技術的な痕跡	DNSレコード、WHOISやRDAPのデータ、証明書の透明性ログ、アーカイブされたウェブページ	誰がドメインやサーバーを運用しているか、ほかに何がつながっているか
グレーリテラチャー	学術論文、NGOの報告書、学会発表、政府刊行物	その対象についてすでに何がわかっているか

多くの調査では、これらのうち複数を組み合わせます。フィッシングメールで見つかったドメインから登録データへ、次に関連するホスト名に発行された証明書へ、さらに商業登記の記載へ、そしてSNSのプロフィールへとたどります。一つひとつの段階はそれ自体公開されている情報であり、価値はそのつながりにあります。

中核となる手法

高度な検索。 検索演算子（site、filetype、完全一致のフレーズ、期間指定）を使うと、膨大な検索結果を重要な数ページにまで絞り込めます。同じクエリを異なる国から実行することも重要です。検索結果や現地の情報源は場所によって異なるためです。

アーカイブと変更の追跡。 ページは変更され、消えていきます。ウェブアーカイブを使えば、ページが過去にどう書かれていたかを確認できます。また、URLと取得時刻を添えたタイムスタンプ付きのコピーを自分で保存しておくことで、発見を証拠にできます。

画像と動画の検証。 画像の逆検索では、写真のより古いコピーを見つけられます。ジオロケーション（ランドマーク、看板、地形を地図と照合する）とクロノロケーション（影、天候、同じ出来事を撮影した別の映像）によって、写真や動画が主張どおりの内容を写しているかを検証します。ファイルのメタデータが役立つこともありますが、多くのプラットフォームはアップロード時にメタデータを削除します。

インフラの分析。 セキュリティ業務では、DNSの履歴、証明書の透明性ログ、ホスティングのデータから、攻撃者のドメインやサーバーの全体像を把握します。そうしたインフラの一部が、誰が見ているかによって異なる挙動を示す理由については、脅威インテリジェンスのためのレジデンシャルプロキシの記事で解説しています。

記録の調査。 企業、裁判、調達の記録は、所有関係や経歴に関する問いに答えてくれます。手法と検証の詳細は、調査報道のための公的記録の収集のガイドで扱っています。

業務の進め方

プロフェッショナルなOSINTはサイクルに沿って進みます。問いを定義し、収集し、処理（重複の除去、翻訳、構造化）し、分析し、答えを必要とする人に報告します。発見が新たな問いを生むたびに、このサイクルが繰り返されます。

信頼できる仕事と当て推量を分けるのは、次の2つの習慣です。

裏付け。 単一の情報源だけでは不十分です。主張は独立した情報源と照合され、報告書にはアナリストの確信度が記されます。
記録。 すべての発見について、どこから得たのか、いつどのように取得したのかを記録します。UC Berkeley Human Rights CenterがUN Human Rights Officeと共同で公表したBerkeley Protocol on Digital Open Source Investigationsは、法廷で使われる可能性のある調査に向けて、こうした基準を定めています。

法的な境界線

「公開されている」ことは「何をしてもよい」という意味ではありません。主な境界線は以下のとおりです。これは一般的な情報であり、法的助言ではありません。ルールは国や目的によって異なります。

個人データは公開されていても個人データです。 GDPRや同様の法律のもとでは、特定可能な個人に関する情報は、公然と公開されたものであっても保護されます。収集には適法な根拠と明確な目的が必要で、目的に必要な範囲に限られます。報道やセキュリティ研究には特有の適用除外があることが多いものの、無制限ではありません。

公開とは、侵入する必要がなかったという意味です。 アカウント、非公開グループ、システムに許可なくアクセスすると、米国のComputer Fraud and Abuse Actや英国のComputer Misuse Actといった不正アクセス関連法のもとで犯罪となる場合があります。パスワードの推測、流出した認証情報の使用、ログインの壁の回避はOSINTではありません。

プラットフォームの規約は引き続き適用されます。 多くのサイトは、規約で自動収集や偽アカウントを制限しています。規約違反は通常、犯罪ではなく契約上の問題ですが、アカウントの停止につながり、証拠の信頼性を弱めるおそれがあります。

再公開するものには著作権が及びます。 分析のためにページを収集することと、そこに含まれる写真や文章を公開することは別の行為です。

自動収集という個別の問題については、ウェブスクレイピングは合法かの概要記事で主なケースを取り上げています。

倫理的な境界線

合法であることは最低ラインであり、基準そのものではありません。経験豊富な調査者は、次のことも問いかけます。

均衡が取れているか。 詐欺ネットワークの全容解明であれば、私人に対する好奇心を満たす場合よりも多くの収集が正当化されます。
誰が害を受ける可能性があるか。 無関係な第三者、情報提供者、家族も公開データに現れます。調査対象ではない人について保持する情報は最小限にとどめます。
発見が誤っている可能性はないか。 公の場、特にオンラインでの人違いは、長く残る損害をもたらします。誰かの名前を挙げる前に裏付けを取ります。
自分自身と情報提供者を守れているか。 調査が対象者に察知されることがあり、報復に出る対象者もいます。

プロキシの役割

OSINTの業務には、見落としがちなネットワーク層があります。ページを開くたびに、サイトにはあなたのIPアドレスが伝わります。それによって調査対象者にあなたの組織が知られてしまうおそれがあります。また、多くのサイトは、訪問者がどこにいるように見えるかによって、異なるコンテンツ、検索結果、価格を表示します。

レジデンシャルプロキシを使うと、アナリストは対象となる国や都市の現地訪問者としてサイトを閲覧でき、組織自身のネットワークを対象のログに残さずに済みます。フィッシングキットやブランドの不正利用を監視するセキュリティチームのように大規模に収集するチームは、リクエストを分散させ、サイトが許容する範囲内で収集を行うためにも利用しています。こうしたワークフローはサイバーセキュリティのユースケースで紹介しています。

これで何ができて何ができないのかは明確にしておく必要があります。プロキシはサイトから見えるIPアドレスを変えるものであり、調査者を匿名にするものではありません。ログイン中のアカウント、ブラウザのフィンガープリント、行動によって、身元が特定される可能性は残ります。その限界については解説記事プロキシは匿名化ツールではないで詳しく扱っており、運用上のセキュリティでそれらを補う必要があります。