「OSINT」 という言葉を、最近よく耳にするようになったのではないでしょうか？ OSINTとは、Open Source Intelligenceの略称で、公開されている情報だけで調査を行う手法です。近年、OSINTは情報収集の最強ツールとして注目を集めています。
本記事では、おすすめのOSINTツール7選と、実践的な活用例をご紹介します。 無料ツールも多数紹介しているので、ぜひあなたに合ったツールを見つけて、OSINTを有効活用してください。
OSINT（オシント）の手法をおさらい
OSINTとは、「Open Source Intelligence（オープンソースインテリジェンス）」を略した言葉です。米国国防総省によって、以下のように定義されています。
「特定の情報要件に対処する目的で、一般に入手可能な情報を収集し、利用し、適切な対象者に適時に普及させた情報」
ニュースや新聞の記事、SNSの情報、Web記事など、一般に公開されており合法で取得可能なデータを収集・分析して活用する手法がOSINTです。第二次世界大戦中に、アメリカが世界中の新聞や雑誌、ラジオ放送から敵国の情報をまとめるために用いられた手法として知られています。
現在では、セキュリティ強化を行う目的でこの手法を用いる企業が増えています。
OSINTツール導入のメリットとは
現在では、サイバー攻撃などの被害から企業のデータを守るために、OSINTの手法を活用したさまざまなツールが開発されています。ここでは、OSINTツールを導入するメリットについて解説します。
サイバー攻撃の標的になり得る情報の有無を確認できる
Webサイトやサーバーに脆弱性がある場合は、サイバー攻撃の標的となります。また、従業員のSNSの情報や企業のブログなどから得た情報で、悪意のある攻撃を仕掛けることも可能です。このように、サイバー攻撃をする側はOSINTの手法を使用している場合が多いです。
そのため、OSINTツールを使ってセキュリティ対策を行うことで、サイバー攻撃者の目線で企業データを確認できることが大きなメリットになります。OSINTツールを活用して、サイバー攻撃の対象となるような企業データが公開されていないか確認しましょう。
各情報の整理・対処を行うことでサイバーセキュリティを高められる
OSINTツールを利用すると、一般に公開されている企業のデータを網羅的に確認可能です。全ての情報が確認できるため、公開されてしまっているデータやアップデートが必要なデータの分類もできます。
データを整理・分類することで、適切なデータ管理や、誤った管理にも対応が可能です。これにより、サイバーセキュリティ対策の強化につながります。
サイバー攻撃の被害を最小限に抑えられる
万が一、サイバー攻撃が発生した場合でも、OSINTツールを活用することで、被害状況を迅速に把握し、復旧に必要な情報を収集可能です。迅速な復旧活動により、被害の拡大を抑制し、業務停止による損失を最小限に抑えることができます。
企業におけるOSINT活用例
ここからは、企業でOSINTの手法を効果的に活用するための活用事例を6パターン紹介します。自社で取り入れられるものは、積極的に取り入れていきましょう。
サイバー攻撃の予測と対策に必要な情報を得る
近年、サイバー攻撃は巧妙化・高度化しており、企業にとって大きな脅威となっています。OSINTは、こうしたサイバー攻撃の予測と対策に必要な情報を収集するのに役立ちます。
- 自社や自社が属する業界を標的としたサイバー攻撃に関する情報
- 攻撃者の使用するマルウェアや脆弱性に関する情報
- 攻撃者が作成したメールアドレス、フィッシングサイトやSNSアカウント
OSINTツールを利用し、これらの情報を得ることで、効果的なサイバー攻撃への対策が可能となります。
サイバー攻撃の証拠の収集や攻撃者の特定
OSINTツールの活用は、従来の調査だけでは収集できなかった貴重なサイバー攻撃者に関する情報を取得できます。
これらの情報は、法執行機関による捜査や、将来的な攻撃に対する対策策定に役立てられるでしょう。
- 攻撃に使用されたマルウェアやツールに関する情報
- 攻撃者のIPアドレスやドメイン名
- 攻撃に使用されたソーシャルメディアアカウントやWebサイト
- 被害を受けた組織や個人に関する情報
これらの情報収集により、攻撃の全体像を把握し、更なる被害を防げます。
自社のソフトウェア、ハードウェア、システムが持つ脆弱性を把握する
OSINTツールを導入することで、ソフトウェア、ハードウェア、システムに影響を与える最新の脆弱性に関する情報をいち早く入手できます。また、従来の脆弱性管理ツールでは見逃しがちな、サードパーティのベンダー、パートナー、サプライヤーが抱える脆弱性も発見できます。
攻撃者が悪用する前に脆弱性を発見することで、素早い対応が可能となり、情報漏えいやシステムダウンなどの被害を防止できるでしょう。
ソーシャルエンジニアリング攻撃やフィッシングキャンペーンを検知
OSINTツールは、ソーシャルエンジニアリング攻撃やフィッシングキャンペーンの検知に役立ちます。
サイバー攻撃者は、企業サイトから役員や経営者情報を収集してその人物になりすましたり、SNSやメールアドレスの情報をもとに社内ネットワークに侵入し、情報を盗み取ったりといった攻撃を仕掛けてきます。
OSINTを活用することで、組織の潜在的な脅威を事前に察知し、適切な対策を講じることが可能です。具体的な対策としては、従業員へのセキュリティ教育やセキュリティ対策ツールの導入が挙げられます。
なりすましの発見や、顧客の要望・不満の収集
OSINTツールを導入することで、企業のブランドイメージを下げる企業の偽広告や偽造商品が見つかることもあります。
また、Web上にある口コミや顧客の要望・不満を収集するといった活用方法もあります。ブランドイメージを調査し、維持するためにOSINTツールを活用することも可能です。
競合企業の調査や研究に活用する
OSINTは、競合企業の調査や研究においても非常に有用なツールです。自社や業界のあらゆるデータを分析するため、競合他社の新商品開発状況、マーケティング活動の実態、財務状況、顧客属性などを調査できます。
これらのデータを収集することで、自社のマーケティングや投資判断の材料として活用できるでしょう。
OSINTツール導入にあたって対応すべきこと
OSINTツールは、非常に有効なツールです。しかし、導入にあたっては、以下の2点について事前にしっかり対応しておくことが重要です。
OSINTツールの具体的な活用方法を決めておく
OSINTツールはさまざまな機能を備えていますが、導入前にどのような目的でOSINTツールを活用するのかを明確にする必要があります。
OSINTツールはサイバー攻撃者が利用したり、サイバー攻撃を防ぐ目的で利用されたり、自社や競合他社の調査をする際など、さまざまな場面で用いられる手法です。なぜOSINTツールを導入するのかを明確にすることで、最適なツール選びができます。
目的が決まったら、次の点を考慮してツールを選びましょう。
- 収集したい情報の種類
- 調査対象
- 予算
これらの点を事前に検討しておけば、スムーズにOSINTツールを活用できます。
サイバー攻撃を防げる環境を整えておく
OSINTツールは、インターネット上の情報を収集するツールです。そのため、サイバー攻撃のリスクに常に注意する必要があります。
セキュリティ対策には、以下の4点が重要となります。
- 最新のセキュリティ対策ソフトの導入・更新
- 強力なパスワードの設定と定期的な変更
- パスワードの使い回しの防止
- フィッシングメールや偽のWebサイトへアクセスしないよう注意する
これらの対策を講じることで、OSINTツールを安心して利用できます。
【無料で利用可能】おすすめのOSINTツール3選
ここからは、具体的なOSINTツール・サービスを紹介します。まずは、無料で情報収集、データ分析が可能な3つのサービスを紹介します。
メタグーフィル
メタグーフィルは、GitHub上に公開されている無料のOSINTツールです。Webサイト、ソーシャルメディア、掲示板、ニュース記事などの公開情報から、特定の人物、組織、事件に関する情報を収集ができます。
メタグーフィルの主な機能を紹介します。
- 通常のGoogle検索では見つけにくい情報を、高度な検索機能で効率的に抽出
- X、Facebook、InstagramなどのSNSから、関連する情報を収集
- 画像をアップロードすることで、類似の画像や関連する情報を検索可能
- ニュース記事から、関連する情報を収集可能
- ダークWebから、公開されていない情報を収集可能
メタグーフィルは、GitHub上で公開されており、誰でも無料で使える点が魅力です。
RuleWatcher
RuleWatcherは、株式会社オシンテックが開発・提供する、世界中のルール形成に関わる情報を収集・分析・可視化できるWebサービスです。企業が活動する上で重要となるESG（環境、社会、ガバナンス）に関する情報を取得するために、多くの企業で利用されています。
以下のような特徴があります。
- 国際ルールトレンドを収集できる
- 世界中のユーザーと意見交換できる
RuleWatcherを使うと、各国政府、国連、国際NGOなどが定めたルールや規制に関する情報を、英語で簡単に調べられます。社会課題の解決に取り組んでいる方に向けては、個人利用に限り基本機能は無料版でも利用可能です。
Hunter.io
Hunter.ioは、企業のWebサイトやソーシャルメディアなどから、公開されているメールアドレスを自動的に探し出してくれます。また、メールアドレスが有効かどうかも確認できるので、無駄なメール送信を減らせます。
具体的には以下のシーンで利用可能です。
- 営業担当者：潜在顧客のメールアドレスを見つけたい
- 採用担当者：候補者のメールアドレスを知りたい
- マーケター：ターゲットとなる企業の連絡先情報を見つけたい
- 記者：企業や組織を取材したい
- セキュリティ専門家：情報漏えいのリスクを調査したい
Hunter.ioの無料プランでは、年間300回の検索と年間600回の検証を行えます。さらに、APIを使って、Hunter.ioを他のツールと連携させられます。
【有料版】おすすめのOSINTツール4選
続いて、有料版の高度なデータ分析や、素早い情報収集などができる高機能なOSINTツールを4つ紹介します。
SCT SECURE OSINT
SCT SECURE OSINTとは、三和コムテック株式会社が提供する、インターネット上の情報を活用して企業の機密情報漏えいなどを調査するサービスです。利用料金は要問い合わせとなります。
常に最新の情報が蓄積されたデータベースから、AIによる分析を行っているため、比較的短期間で高精度な情報収集が可能です。調査対象は、企業のWebサイトやSNSだけでなく、ダークWebと呼ばれる闇サイトまで網羅していることが特徴です。調査結果は、日本語で分かりやすくまとめたレポートとして提供されます。
SCT SECURE OSINTは、企業のセキュリティ対策や情報収集に役立つツールです。自社の情報セキュリティ対策や情報収集の課題解決に、ぜひ検討してみてはいかがでしょうか。
Silobreaker
Silobreakerは、組織の意思決定者や専門家を支援するために開発されたSaaSプラットフォームです。
インターネット上のさまざまな情報を収集・分析し、分かりやすく整理してくれるツールです。企業、業界、情報漏洩、攻撃者、脆弱性など、ビジネスに関わるあらゆる情報を逃さずにキャッチします。
価格は導入企業によって異なるため、具体的な金額は公表されていません。しかし、導入時は、1カ月の無償PoC期間が用意されています。
RecordedFuture
Recorded Futureは、ダークWebを含むインターネット上の膨大な情報から脅威インテリジェンスを収集・分析し、可視化・行動指針を提示するSaaS型脅威インテリジェンスプラットフォームです。2009年に設立された米国発の企業で、世界中の政府機関、金融機関、重要インフラ事業者など、多くの組織に導入されています。
Recorded Futureは非常に高機能なツールですが、導入にはコストと専門知識が必要です。また、収集される情報量が多いため、必要な情報に絞り込むための工夫が必要となります。
Recorded Future以外にも、さまざまなOSINTツールがあります。 組織のニーズに合致したツールを選ぶことが重要です。
PigDataのOSINTサービス
PigDataは、Webスクレイピングに特化したOSINTサービスを提供する、日本の企業です。ビッグデータを活用した事業改善・創造を目的とし、データ収集、整形、可視化、分析、システム自動化など、幅広いサービスを展開しています。
- スクレイピング代行サービス
- Webサイト更新チェックツール「TOWA」
- SNS分析サービス「SocialAnalyst」
- 最新営業リスト作成・管理ダッシュボード
- Tableau構築支援サービス（データ分析ツール）
上記のようなさまざまな情報収集、分析するツールが用意されているため、目的に応じた適切な課題解決が可能です。
スクレイピング代行サービスでは、単発で100,000円～、継続依頼であれば月額50,000円～などサービス、使用方法ごとに異なります。
まとめ
OSINTは、インターネット上に公開されている膨大な情報から、必要な情報を収集・分析する技術です。
無料のOSINTツールも、有料のOSINTツールも多くのサービスが提供されています。三和コムテックのSCT SECUREは、AI分析により短期間で高精度な情報収集ができるOSINTツールです。調査対象にはダークWebを含むためより強固なセキュリティ対策となります。
OSINTツール導入時は、OSINTツールを利用する目的を明確にして、最適なツールを選択することが重要です。
情報化社会において、OSINTは個人や組織にとって、なくてはならないツールとなりつつあります。この技術を正しく理解し、活用することで、私たちはより多くの情報にアクセスし、よりよい意思決定ができるようになるでしょう。本記事で紹介したツールや活用例を参考に、ぜひOSINTを活用してください。
