OSINTのやり方

まず、安心してください。OSINTのやり方を調べていると、専門的なツールの名前がずらりと並んだ記事に行き当たって、自分には無理だと感じることがあります。実際のところ、OSINTで一番大事なのはツールではありません。何を知りたいのかを決める部分と、集めた情報をつなぎ合わせる部分です。

OSINTとは、誰でも見られる公開された情報だけを使って、対象について必要な事実を明らかにする手法のことです。特別なシステムに侵入するわけではありません。検索エンジン、企業の公式サイト、官公庁の公開データ、SNSの投稿、公開された文書。こうしたものを組み合わせて全体像を組み立てます。

この記事では、皆さんが実際に手を動かせるように、調査の目的の決め方から、情報の集め方、法律の線引き、整理と報告のまとめ方までを順番に書きます。最後に、自社の情報がどれだけ外から見えているかを点検する具体的な流れも載せました。

OSINTとは何を指す言葉なのか

OSINTはOpen Source Intelligenceの略で、日本語では「公開情報を使った調査」と訳されます。ここでいうオープンソースは、ソフトウェアの話ではなく「公開されている情報源」という意味です。もともとは各国の情報機関が使っていた分類のひとつで、人から直接聞き出す手法や、通信を傍受する手法と並べて、公開資料から得る情報を指す言葉として使われてきました。

重要なのは、この手法が「情報を集めること」ではなく「集めた情報から結論を出すこと」を目的にしている点です。英語のIntelligenceは、単なるデータではなく、判断に使える形に加工された情報を意味します。つまり、検索結果を大量に集めた段階ではまだOSINTになっていません。集めたものを照合し、矛盾を潰し、「これはこう言える」という結論にまで持っていく作業が本体です。

もう一つ、境界線をはっきりさせておきます。OSINTは公開情報だけを扱います。パスワードを推測してログインする、公開されていない管理画面に入り込む、鍵のかかった領域をこじ開ける。これらはすべてOSINTの外側で、しかも法律に触れます。「見えているものを見る」のがOSINT、「見えないものをこじ開ける」のは別の行為です。この線を曖昧にした記事が世の中に多く出回っているので、最初に区別しておいてください。

では、公開情報だけでどこまでわかるのか。結論としては、驚くほどわかります。企業が使っているクラウドサービスの種類、社員の氏名と所属、社内で使っているシステムの名称、事業所の場所と写真、取引先の一覧、使っている機器の型番。これらの断片は、公式サイト、プレスリリース、求人票、登壇資料、社員のSNS投稿といった場所にばらばらに置かれています。一つひとつは無害ですが、つなぎ合わせると攻撃の計画に使える地図になります。

だからこそ、防御側がOSINTを学ぶ意味があります。攻撃者が自社をどう見ているかを先に自分で確認できるからです。私自身、技術文書の仕事で企業の公開資料を大量に読む立場にありますが、社外向け資料の中に社内システムの構成が思いのほか詳しく書かれている例を何度も見ました。書いた本人に悪意はなく、事例紹介として親切に書いただけなのです。この「親切さの積み上がり」が、外から見ると情報の漏出になっています。

OSINTが実際に使われる4つの場面

用途によってやり方が変わるので、先に整理します。

一つ目は、自社の露出点検です。自社の名前で公開情報を洗い、外部からどこまで見えているかを確認します。担当者の連絡先、使用中のサービス、公開されたままの試験環境、過去に流出した認証情報。見つかったものを閉じるのが目的なので、誰に許可を取る必要もなく、今日から始められます。最も実用的な用途です。

二つ目は、セキュリティ診断の前段階です。専門会社が侵入テストを行う際、最初にやるのが公開情報の収集です。対象の範囲を決め、どこに入り口がありそうかを絞り込む。この工程を丁寧にやるかどうかで、診断の質が変わります。委託する側としても、この工程が見積もりに含まれているかを確認する視点を持つと、業者の力量を見分けられます。

三つ目は、取引先や採用候補の確認です。新規の取引先が実在する企業か、登記上の情報と公表内容が一致しているか、過去に問題を起こした記録がないか。ここは業務上の必要性がある調査で、多くの企業が日常的にやっています。ただし個人に対して行う場合は、あとで述べる法的な線引きに注意が必要です。

四つ目は、事実確認と調査報道です。写真がどこで撮られたか、発言がいつなされたか、公表された数字が他の公開データと整合するか。フェイク情報の検証でこの手法が使われる場面が増えました。使う技能は自社点検と同じで、写真の撮影地を特定する、投稿の時刻を確認する、複数の出所を突き合わせる、といった作業です。

この記事では主に一つ目と二つ目、つまり防御側の使い方を軸に説明します。個人を特定する目的の調査には触れません。技術的に可能であることと、やってよいことは別だからです。

始める前に押さえる法律と規約の線引き

手順の前に、ここを読んでください。順番を逆にすると、良い意図で始めた作業が違法行為になります。

まず、不正アクセス禁止法です。他人の識別符号を使ってアクセス制御を突破する行為、セキュリティホールを突いて入り込む行為が禁止されています。公開されているページを見るのは問題ありませんが、パスワードを推測して入る、公開されていない領域のURLを推測して開く、といった行為はこの法律に触れる可能性があります。「URLを打ち込んだだけ」という言い分は通りません。

次に、各サービスの利用規約です。SNSや検索サービスには、自動収集を禁止する条項が置かれていることがあります。手作業で見るのは自由でも、プログラムで大量に取得すると規約違反になり、アカウントの停止や損害賠償の対象になりえます。規約は法律ではありませんが、契約なので拘束力があります。

三つ目に、個人情報保護法です。公開されている情報であっても、個人を識別できる情報を集めて管理すれば、個人情報の取扱いに当たります。取得の目的を明確にし、必要な範囲を超えないこと、目的外で使わないこと、不要になったら消すこと。この原則は公開情報にも及びます。制度の詳細は関係省庁の公表資料で確認できます。

四つ目に、著作権です。公開資料の引用は条件を満たせば可能ですが、報告書に画面や文書を貼り込むときは出典を明記し、必要な範囲に留めます。社内資料であっても、外部に出る可能性がある文書では注意が必要です。

五つ目に、業務上の承認です。自社を対象にする場合でも、上司や情報システム部門に事前に伝えてください。外部からの探索と見分けがつかない動きをすると、社内の監視に検知されて騒ぎになります。私も一度、自社サイトの公開状態を確認する作業をしていて、監視を担当している部署から問い合わせを受けたことがあります。事前に一言伝えておけば済んだ話でした。

他社を対象にする場合は、書面での承認が必須です。侵入テストの契約では、対象範囲と期間と手法を明記した合意書を交わします。口約束で始めてはいけません。

手順の1、調査の目的と範囲を決める

ここが最も重要で、かつ最も飛ばされる工程です。

目的を一文で書いてください。「自社の従業員の連絡先が、どこまで外部から取得できるかを確認する」「自社が使っているクラウドサービスのうち、外部から推定できるものを洗い出す」「新規取引先の企業が登記情報と公表内容で一致しているかを確認する」。このくらいの具体性が必要です。

「セキュリティを調べる」という目的設定で始めると、必ず失敗します。何を見つければ終わりなのかが決まっていないので、延々と検索を続けて疲れて終わります。OSINTは終わりのない作業になりやすいので、終了条件を先に決めるのが実務のこつです。

次に範囲です。対象の組織名、ドメイン名、対象とする期間、対象としない領域。特に「対象としない領域」を書くことが大切です。グループ会社は含むのか、退職者は含むのか、取引先の情報は含むのか。ここを決めておかないと、途中で判断が揺れます。

そして、調査の問いを三つから五つに分解します。たとえば自社の露出点検なら、次のような形です。自社のドメイン配下に、公開する意図のないサーバーが残っていないか。社員の業務用メールアドレスが外部のサイトに掲載されていないか。公開資料の中に社内システムの名称や構成が書かれていないか。過去のデータ流出に自社のアドレスが含まれていないか。使用中のサービスの管理画面が外部に開いていないか。

この問いの形に落としておくと、それぞれに対して「調べた、結果はこうだった」と記録できます。報告書の骨組みがこの段階で決まるわけです。逆に、問いを立てずに情報を集めてから報告を書こうとすると、集めたものの羅列で終わります。

最後に、記録の形を決めます。表計算ソフトのシート一枚でかまいません。列は「問い」「調べた場所」「見つけたもの」「日時」「証拠の保存先」の五つ。調査中はここに追記するだけにして、考察は後回しにします。手を動かしながら考えると、両方が中途半端になります。

手順の2、公開情報を集める

集める先を、対象の種類ごとに整理します。ここでは自社の露出点検を想定します。

組織の基本情報から始めます。公式サイトの会社概要、登記情報、プレスリリース、決算資料。事業所の所在地、役員の氏名、事業の内容、グループ会社の構成。ここで全体の骨格を作ります。官公庁の公開データベースは無料で使えるものが多く、法務省の関連サイトから登記に関する手続きの入口にたどれます。

次に、インターネット上の資産です。自社が持っているドメイン名と、その配下にある名前の一覧。公開されている証明書の記録から、これまでに発行された名前が確認できます。ここで「もう使っていないはずの試験環境が生きている」という発見が頻繁に出ます。私が関わった案件でも、数年前のキャンペーンサイトが放置されたまま動いていて、古いソフトウェアのまま外部に開いているという例がありました。使っていないものは、消すか閉じるしかありません。

三つ目に、人に関する情報です。公式サイトの社員紹介、登壇したイベントの資料、技術ブログ、求人票。とくに求人票は情報量が多く、「使用技術」の欄に社内で使っている製品名がそのまま並んでいることがあります。攻撃者から見れば、これは狙うべき製品のリストです。掲載をやめる必要はありませんが、具体的なバージョンまで書いていないかは確認したほうがよいです。

四つ目に、公開された文書です。サイトに置かれた資料の中身に加えて、ファイルの付帯情報にも目を通してください。作成者の氏名、使用したソフトウェアの版、社内のファイル保存先の経路。これらが残ったまま公開されている文書は珍しくありません。公開前に付帯情報を落とす運用があるかどうかで、組織の成熟度が見えます。

五つ目に、画像です。写真に含まれる位置情報、背景に写った掲示物や座席配置、画面に映ったシステムの表示。オフィス紹介の写真から、入館の方法や机の上の書類が読めてしまう例があります。

六つ目に、過去の流出情報です。過去に発生した大規模なデータ流出に、自社の業務用アドレスが含まれているかを確認できるサービスがあります。含まれていた場合は、そのアドレスの利用者にパスワードの変更と多要素認証の設定を促します。認証強化の具体的な選択肢は、製品比較まで踏み込んだMFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版に整理されているので、対策の検討材料になります。

集める際の姿勢として、二つだけ守ってください。一つは、見つけたものを必ず保存すること。ページは消えます。画面の保存と取得日時を残します。もう一つは、自分の身元を隠す工作に走らないこと。防御目的の調査なら隠す必要はありません。

無料で使える情報源を用途別に並べる

有償のツールを買う前に、無料で足りる範囲を知っておくと無駄な出費を避けられます。用途別に整理します。

法人の実在と基本情報を確かめたいときは、官公庁の公開データベースが第一の情報源です。商号、本店所在地、代表者、設立年月日といった登記上の情報を確認できます。行政の許認可情報も業種によっては公開されており、建設業や貸金業などは免許の有無を照会できます。新規の取引先を確認する場面では、この一手で十分なことが多いです。統計や制度の一次情報が必要な場合は、総務省や所管の省庁の公表資料に当たるのが確実です。

自社が持つインターネット上の名前を洗い出したいときは、公開されている証明書の記録が最も効率的です。暗号化通信に使う証明書は発行の記録が公開される仕組みになっているため、その記録を検索すると、これまでに証明書が発行された名前が一覧で出てきます。担当者が忘れている試験環境やキャンペーン用のサーバーが、ここで大量に見つかります。無料で使えて、しかも最初にやるべき作業です。

ドメインの登録情報を確認したいときは、登録情報を照会する仕組みが使えます。登録者名は個人情報保護のため代理会社の情報に置き換えられていることが多いですが、登録日、更新期限、使用しているネームサーバーは読み取れます。期限切れが近い自社ドメインの発見という実利もあります。

過去のデータ流出に自社のアドレスが含まれていないかは、流出データを集約して照会できるようにしたサービスで確認できます。個別のアドレスを入力する形と、ドメイン単位でまとめて確認する形があります。該当があった場合の対応は、パスワードの変更と多要素認証の設定の二つです。

画像の出所を確かめたいときは、画像検索が基本になります。同じ画像がどこで使われているかをたどれるので、公式画像の流用や、他のサイトからの転載を数十秒で判別できます。写真に位置情報が埋め込まれている場合は、ファイルの付帯情報を確認する無料のツールで読み取れます。

文書の付帯情報を確認する手段も無料でそろいます。公開されている資料ファイルの作成者名、使用したソフトウェアの版、社内の保存先の経路。これらが残ったままの文書は多く、公開前に落とす運用を作るきっかけになります。

検索エンジンそのものも、条件を絞る指定を使うと専門ツールに近い働きをします。対象のドメインに限定する、ファイルの種類を限定する、特定の語を含むページに限定する。この組み合わせだけで、公開する意図のない資料が見つかることがあります。有償のツールを検討するのは、これらを一巡して手が足りないと感じてからで十分です。

手順の3、集めた情報を関連づける

多くの人がここで力尽きます。しかし価値が生まれるのはこの工程です。

やるべきことは、断片を「一つの事実」に束ねることです。たとえば、求人票に特定のシステムの名前があった。技術ブログに同じシステムの運用の話があった。公開された証明書の記録に、そのシステムの管理画面らしい名前があった。この三つを並べると、「この組織はこのシステムを使っており、管理画面が外部から到達できる可能性がある」という一つの推定になります。

このとき、必ず確度を書いてください。確認済み、推定、未確認の三段階で十分です。「管理画面が外部に開いている」と断定するには、実際に到達できることの確認が必要です。確認していないなら推定と書きます。この区別を曖昧にした報告書は、あとで信頼を失います。

そして矛盾を探します。公式サイトの記載と登記情報が違う、プレスリリースの日付と実際の稼働時期が合わない、社員紹介の人数と求人の規模が噛み合わない。矛盾は、調べ方が足りない印か、あるいはそこに何かがある印です。どちらであっても、放置せずに理由を書いてください。

整理の道具は、表計算ソフトで足ります。列を「対象」「事実」「出所」「取得日」「確度」「意味するリスク」にすると、そのまま報告に使えます。関係を図にしたいときは、対象と対象を線で結んだ簡単な図を手で描けば十分です。高機能な可視化ツールは、規模が大きくなってから考えればよいことです。

もう一つ、実務で効くコツを書きます。集めた情報を「攻撃者の立場で一文にする」練習をしてください。「私が攻撃者なら、この求人票に書かれた製品の既知の弱点を調べ、この管理画面に試す」。この一文が書けたものが、対応すべき指摘になります。逆に、この一文が書けない発見は、面白いだけで実害がない情報です。報告に載せる優先度を下げてよいということです。

手順の4、報告にまとめて手を打つ

調査の価値は、報告が読まれて手が打たれたかどうかで決まります。読まれる報告の形を書きます。

冒頭に、結論を三つから五つ。「公開する意図のないサーバーが2件稼働しています」「業務用アドレス18件が過去の流出データに含まれています」「公開文書14件に社内の保存先の経路が残っています」。この形で、件数と何が起きているかを先に書きます。経営層が読むのはここだけです。

次に、それぞれの指摘について、事実、確度、想定される影響、推奨する対応、対応の難易度を書きます。推奨する対応は「調査する」ではなく「削除する」「閉じる」「設定を変える」といった動詞で書いてください。誰が何をすればよいかが決まっている記述だけが実行されます。

そして、対応の優先順位を付けます。判断の基準は二つで、悪用された場合の影響の大きさと、悪用のしやすさです。両方が高いものから順に並べます。全部を同時に直そうとすると何も進まないので、上位三つに絞って期限を切るのが実務的です。

対応の実行段階では、削除して終わりにしないことが大切です。同じことが再発しない仕組みまで作ります。たとえば、使わなくなった環境を棚卸しする定期の手順を作る、公開前に文書の付帯情報を落とす工程を入れる、求人票の技術欄をレビューする担当を決める。人が気をつけるだけの対策は、半年で崩れます。

自組織の脆弱性を継続的に確認する仕組みづくりについては、無償の診断ツールを使った実践手順をまとめたオープンソースで始めるWebサイト脆弱性診断｜OWASP ZAPの使い方ガイドが参考になります。OSINTで見つけた公開資産に対して、そのまま次の点検をつなげられます。

最後に、報告書の保管に注意してください。この文書は、自組織の弱点を一覧にしたものです。共有範囲を限定し、閲覧記録を残し、不要になった時点で処分する。報告書自体が流出すると、調査したことが裏目に出ます。

自社の露出を1日で点検する具体的な流れ

初めての方が今日試せる形にまとめます。半日から1日で終わる分量です。

午前の前半は、対象の確定です。自社が持つドメイン名をすべて書き出します。担当者の記憶だけに頼らず、ドメインの契約状況を管理している部署に確認してください。過去のキャンペーン用に取得したものが漏れがちです。書き出した一覧を表にします。

午前の後半は、資産の洗い出しです。各ドメインについて、公開されている証明書の記録から発行済みの名前を集めます。集まった名前に対して、実際にページが応答するかを一つずつ確認します。応答したものについて、それが現在も必要なものかを担当部署に照会する形で整理します。ここで出てくる「誰も知らないサーバー」が、この点検の最大の成果になることが多いです。

午後の前半は、人と文書です。自社名で検索して出てくる公開資料、登壇資料、求人票を集め、社内システムの名称や構成が書かれていないかを見ます。公開している文書ファイルについて、付帯情報に作成者名や保存先の経路が残っていないかを確認します。

午後の後半は、認証情報です。業務用のアドレスが過去の流出データに含まれていないかを確認し、該当者にパスワードの変更と多要素認証の設定を依頼します。ここは即座に効果が出る対応なので、優先度を高く置いてください。

最後の1時間で報告を書きます。結論を三つから五つ、対応の優先順位を上位三つ。これで完成です。

この点検を年に一度でも回しておくと、外から見た自社の姿が把握できます。実際にやってみると、多くの組織で共通する発見が出ます。放置された試験環境、退職者のアカウント、古いままのソフトウェア。派手な攻撃手法の話よりも、こういう地味な穴のほうが実際の被害につながっています。予算を伴う対策を検討する段階になったら、補助金を絡めた進め方をまとめた中小企業のサイバーセキュリティ対策2026｜IT導入補助金で防御力を強化する方法に費用の作り方の実例が載っています。

外部の専門会社に委託する場合の見方

自社でやる範囲を超える場合、専門の会社に依頼する選択があります。商用サービスとして提供されている領域です。

三和コムテックでは、長年の経験と実績を活かした「SCT SECURE OSINT サービス」を提供しています。高度な検索技術と分析機能により、必要な情報を効率的に収集・分析し、意思決定を迅速化します。 出典: product.sct.co.jp

このように、継続的な収集と分析を仕組みとして提供する形が主流です。委託を検討する際の見るべき点を四つ挙げます。

一つ目は、成果物の形です。ツールの画面を見られるだけなのか、分析した報告が出てくるのか。前者だと、結局は自社で読み解く手間が残ります。報告に「推奨する対応」が書かれる契約かどうかを確認してください。

二つ目は、範囲の定義です。どのドメインまで、どのグループ会社まで、どの期間を対象にするか。範囲が曖昧なままの見積もりは、後から追加費用が発生します。

三つ目は、継続性です。OSINTは一度やって終わりではありません。新しいサーバーが立ち、新しい資料が公開され、新しい流出データが出ます。年に一度の点検か、継続的な監視か。必要な頻度を先に決めてから見積もりを取ってください。

四つ目は、情報の扱いです。委託先が集めた自社の弱点情報を、どう保管し、契約終了後にどう処分するか。この条項が契約書に書かれているかを確認します。

費用感としては、単発の調査と報告で数十万円から、継続的な監視のサービスで月額数万円から数十万円という幅が一般的です。自社の規模と公開資産の数で変わるので、複数社から取って比べる価値があります。

OSINTの技能を仕事につなげる道

ここからは、この技能をどう仕事にするかの話をします。皆さんが学んだことは、そのまま需要のある領域につながっています。

フリーランスと在宅ワークの市場を20年運営してきた立場から言えば、ここ数年で明確に増えたのは「調査と文書化」の業務委託です。自社の公開資産の棚卸し、公開前資料のレビュー、セキュリティ教育資料の作成、インシデント対応手順書の整備、技術的な報告書の執筆。いずれも常駐を必要とせず、成果物で納品できる仕事です。

企業側の事情を説明すると、セキュリティに割ける人員がどこも足りず、しかも「技術的に正確で、非エンジニアに伝わる文書」を書ける人が特に足りません。OSINTの報告書づくりで鍛えられるのは、まさにその能力です。事実と推定を区別し、影響を言葉にし、やるべき対応を動詞で書く。この型が身についている人は、分野が変わっても通用します。

どういう案件が出ているかを具体的に知りたい方は、セキュリティとAI関連の業務がどう発注されているかがまとまったAI・マーケティング・セキュリティのお仕事を見てください。求められる成果物の形と進め方が書かれているので、自分の経験との距離が測れます。報酬の水準を知りたい場合は、職種ごとの分布が載ったソフトウェア作成者の年収・単価相場が判断材料になります。相場を知らずに受けると、半額で引き受けてしまうことがあります。

技術の土台を厚くするなら、通信の仕組みを体系的に押さえられるCCNA（シスコ技術者認定）が実務との距離が近い選択です。OSINTで見つけた公開資産が「なぜ外から見えるのか」を説明できるかどうかは、通信の理解にかかっています。名前の解決、経路、ポート、証明書。この辺りが腹に落ちていると、調査の精度が一段上がります。

運営者として長く見てきて感じるのは、この市場で長く続く人は、単発の作業をこなす人ではなく「この人に任せると自分の仕事が減る」と思わせた人だということです。OSINTの報告書は、依頼した側が経営に説明する材料になります。そこまで書ける人は、次も呼ばれます。

手取りの話も書いておきます。仲介の中間マージンが乗らない手数料0%の直接取引では、依頼する側は同じ予算でより多くを頼めて、受ける側は手元に残る額が厚くなります。額面の報酬を並べて比べているうちは気づきにくい差ですが、20年この市場を見てきて、継続している人の年収を決めていたのは額面ではなく手取りと継続の有無でした。

最後に、今日やることを一つ挙げます。自社のドメイン名を一つ選んで、公開されている証明書の記録からこれまでに発行された名前を並べてみてください。知らない名前が一つでも出てきたら、それがあなたの組織で最初に閉じるべき穴です。手順を覚えるより、一度その発見を経験するほうが、この技能は早く身につきます。

よくある質問

Q. OSINTは違法になることがありますか？

公開されている情報を見る行為自体は違法ではありません。ただしパスワードを推測して入る、公開されていない領域をこじ開けるといった行為は不正アクセス禁止法に触れます。またSNSなどの利用規約が自動収集を禁止している場合は規約違反になり、個人情報を集めて管理すれば個人情報保護法の対象になります。他社を対象にする調査は書面の承認が必須です。

Q. OSINTに必要なツールは何ですか？

最初は表計算ソフトと検索エンジンだけで足ります。集めた事実を「対象」「事実」「出所」「取得日」「確度」の列で記録する表が中心の道具です。公開されている証明書の記録や登記情報の照会といった無料の情報源を組み合わせれば、有償ツールがなくても自社の露出点検は完結します。

Q. 自社の点検はどのくらいの時間でできますか？

初回でも半日から1日で一巡できます。ドメインの一覧作成、証明書の記録からの資産洗い出し、公開資料と求人票の確認、業務用アドレスの流出確認、報告の作成という流れです。年に一度回すだけでも、放置された試験環境や退職者のアカウントといった実害につながる穴が見つかります。

Q. 専門会社に委託する費用はどのくらいですか？

単発の調査と報告書の作成で数十万円から、継続的な監視のサービスで月額数万円から数十万円という幅が一般的です。自社の規模と公開資産の数で変わります。見積もりを比べるときは、成果物に推奨する対応が書かれるか、対象範囲が明記されているか、収集した弱点情報の保管と処分が契約書に書かれているかを確認してください。