ダークウェブとは：個人情報が売買されるしくみと身を守る方法

ダークウェブとは何か

ダークウェブは、専用のウェブブラウザなどを利用しないとアクセスできないウェブを指します。総務省の「国民のためのサイバーセキュリティサイト」の用語集が、このように説明しています。

もともとは、匿名で通信するための道具として生まれました。総務省の用語集によると、この匿名通信ツールは、インターネット上の言論の自由とプライバシーの保護のために開発されたものです。ところが、それが違法なサイトに悪用されて、ダークウェブが広がりました。その結果、サイバー犯罪の温床になっていると言われています。

ダークウェブという言葉は、怪しい闇の世界というイメージで使われがちです。ただ、ここで確認できるのは、公的機関が示している次の事実です。

• 専用のブラウザなどがないとアクセスできない
• 匿名で通信するための道具が、違法なサイトに悪用されてきた
• 一般には売買をためらわれる商品や、サイバー攻撃用のツールが取引されている

ダークウェブで何が取引されているのか

総務省の用語集は、一般には売買をためらわれる商品に加え、専門知識がなくてもサイバー攻撃ができるツールが取引されていると説明しています。マルウェアの作成ツールやDDoS攻撃のツールがその例です。

つまり、ダークウェブは個人情報だけの市場ではありません。攻撃のための道具や、不正な品物も同じ場で扱われています。

個人情報についても、掲載や取引が行われていることは公的機関が認めています。個人情報保護委員会（PPC）のFAQは、ダークウェブ上で掲載・取引されている個人情報を扱う場面を想定した説明を載せています。その中身は、のちの節で紹介します。

個人情報はどのようにダークウェブへ流れるのか

流れ方の一つとして、警察庁が毎年まとめている「サイバー空間をめぐる脅威の情勢等」に、ランサムウェアの事例が出ています。

ランサムウェアは、感染した端末のデータを暗号化して使えなくし、元に戻す代わりに金銭や暗号資産を要求する不正プログラムです。近年は、データを盗んだうえで「対価を支払わなければ公開する」と要求する二重恐喝の被害も多いとされています。

警察庁の令和7年上半期の報告は、ランサムウェアによって流出したとみられる事業者の財務情報や個人情報が、ダークウェブ上のリークサイトに掲載されていたことが確認されていると記しています。

同じ報告では、令和7年上半期のランサムウェアの被害報告件数は116件で、過去最多に並んだとされています。

また、標的となった企業のネットワークに侵入するための認証情報を売買する者もいると、警察庁は説明しています。複数の関与者が役割を分担して攻撃が成り立っており、攻撃の実行者に高い専門知識が要らなくなっている、という指摘です。

この記述から言えるのは、企業から盗まれたデータが、公開の場に出ることがあるという点です。

国際的な取り締まりも行われている

警察庁の報告には、国際的な取り締まりの例も載っています。

攻撃グループ「LockBit」については、サイバー特別捜査隊（当時）と関係警察が、EUROPOL等との国際共同捜査を進めました。2024年2月には関係国の捜査機関が被疑者2名を逮捕しています。

同グループが使うサーバがテイクダウン（機能停止）され、流出した情報が載っていたリークサイトには、テイクダウンを知らせる画面が表示されました。

こうした取り締まりがあっても、すべての情報が消えるとは限りません。すでに掲載された情報がどうなるかは、報告からは分かりません。この点は、断定せずに受け止める必要があります。

情報を盗むマルウェアへの対策も進んでいる

企業からの流出とは別に、利用者の端末から情報を盗むマルウェアも問題になっています。警察庁の報告には、情報窃取型マルウェア（インフォスティーラー）への国際共同捜査の例が載っています。

令和7年6月、INTERPOLはアジア・南太平洋地域での捜査「Secure」について発表しました。日本警察を含む26か国の捜査機関が、民間事業者とも連携して臨んだものです。

日本では、サイバー特別捜査部と18都府県警察が連携し、侵害されたサーバを管理する事業者に働きかけました。その結果、事業者によって129台のサーバがテイクダウンされています。

このサーバは、企業等が通常使うサーバが何らかの理由で侵害され、管理する側が気付かないまま情報窃取に悪用されていたものでした。情報の流出は、利用者の不注意だけで起きるわけではないと分かります。

フィッシング対策として進められていること

盗まれた認証情報は、偽サイトに誘導するフィッシングでも集められます。警察庁の報告によると、フィッシングの手口が巧妙化し、被害が急増している状況を踏まえて、所管省庁を通じた事業者への要請が行われました。

要請の内容は、なりすましメールを防ぐ技術（DMARC等）への対応促進、フィッシングサイトの閉鎖促進、パスワードに代わって生体認証等でログインできる認証方法（パスキー）の普及促進です。

利用者側でも、メールやSMSのリンクから入力する前に、公式アプリや公式サイトに入り直して確かめる習慣が役に立ちます。

自分で調べるのはおすすめできない理由

不安になって、自分でダークウェブにアクセスして確かめようと考える人もいるかもしれません。公的機関の資料を見る限り、個人で行う利点は見当たりません。

個人情報保護委員会のFAQは、事業者の立場で次のように説明しています。ダークウェブ上で掲載・取引されている個人情報は、掲載した者が偽りその他不正の手段で取得した情報である可能性が高いとされています。

そのため、そこからデータを取得すると、個人情報保護法第20条第1項に違反するおそれがあります。みだりに取得する場合が対象で、自社から漏えいしたデータを二次被害の防止のために取得する場合などは、個別に判断されるという整理です。

このFAQは事業者向けの解釈で、個人の行為に直接触れたものではありません。ただし、扱いに注意が必要な情報であることは読み取れます。

不安なときは、自分で探しに行くのではなく、次の対策を進めるほうが現実的です。

今日からできる対策

ダークウェブに情報が出ているかどうかを個人が確定させるのは難しいため、出ていても被害を抑えられる備えが中心になります。

1. パスワードの使い回しをやめる。 IPAは、同じパスワードを複数のサービスで使うと、一つのサービスから漏えいした情報が他のアカウントへの不正ログインにつながると注意喚起しています。使い回しはしないことが重要です。
2. パスワードを長く、推測されにくくする。 IPAは、パスワード設定はできる限り長く、複雑にすることを挙げています。
3. 多要素認証を設定する。 IPAの不正ログイン対策の特集は、記憶情報、所持情報、生体情報のうち2つ以上を組み合わせる認証方式を紹介しています。IDとパスワードが不正利用されても、ログインできないため防止効果があるとされています。
4. 公式の連絡を確認する。 利用しているサービスから漏えいの連絡が来た場合は、メールのリンクではなく、公式アプリや公式サイトから内容を確かめてください。

IPAのページには、Apple、Google、Microsoft、Yahoo!、Instagram、X、Amazon、Facebookなど、サービスごとの多要素認証の設定方法へのリンクがあります。

使い回しをしていないかを確かめたいときは、普段使うサービスをいくつか挙げて、パスワードが同じでないかを順に見直してください。

漏えいの連絡を受けたときの考え方

事業者には、個人データの漏えい等が起きたときの対応が法律で定められています。個人情報保護委員会によると、要配慮個人情報を含む場合や、財産的被害が生じるおそれがある場合、不正の目的で行われたおそれがある場合などは、委員会への報告が義務付けられています。本人の数が1,000人を超える場合も対象です。

報告の期限は、速報が発覚日から3〜5日以内、確報が30日以内とされています。不正の目的で行われたおそれがある場合は60日以内です。

個人情報保護委員会のページに、本人への通知についての記載は見当たりませんでした。ここでは、通知の有無や時期を断定しません。

事業者が法律に反する行為をしたと考えるときの通報は、個人情報保護法相談ダイヤル（03-6457-9849）で受け付けています。損害賠償などの個別の判断は、この記事では扱いません。

困ったときの相談先

警察庁は、サイバー事案に関する通報、相談、情報提供の全国統一のオンライン受付窓口を設けています。都道府県警察の窓口の連絡先は、警察庁のページから確認できます。

そのほか、警察庁のページには次の窓口が載っています。

• 一般的な技術相談：IPAの情報セキュリティ安心相談窓口（03-5978-7509）
• 消費生活全般の相談：消費生活センターまたは188（消費者ホットライン）

人命に関わる事案は、最寄りの警察署に通報し、緊急を要する場合は110番に連絡するよう、警察庁は案内しています。

公開情報を確認する（Remove Meのスキャンについて）

先に、できないことを書いておきます。Remove Meのスキャンは、ダークウェブを監視しません。ダークウェブに入って個人情報を探すこともしていません。

スキャンが調べるのは、公開されている情報と、すでに知られている漏えいデータベースです。入力した情報が、そこに含まれていないかを確認します。

Remove Meは、現時点では削除依頼の送信を行っていません。見つかった内容を整理し、次に取る行動を考える材料を示します。

結果が空だった場合でも、情報が守られているという意味にはなりません。スキャンは特定の企業の事故を探すものではなく、既知の漏えいデータに限られるためです。

無料で公開情報を確認する

登録は不要です。結果にかかわらず、パスワードの使い回しの見直しと多要素認証の設定は進めてください。

出典

• 総務省：国民のためのサイバーセキュリティサイト 用語集（ダークウェブ）
• 個人情報保護委員会：ダークウェブ上の個人情報の取得に関するFAQ
• 警察庁：令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について
• IPA：不正ログイン被害の原因となるパスワードの使い回しはNG
• IPA：不正ログイン対策特集
• 警察庁：サイバー事案に関する通報・相談
• 個人情報保護委員会：漏えい等の対応とは