Uphill SecurityはHacker Newsで注目を集めたが、そのSSH認証情報データは慎重に読む必要がある

Uphill Securityは、153万件のSSHログイン試行をHacker Newsの読者に提示し、絶え間ない自動化の実態と、大きな解釈上の対立の両方を浮き彫りにした。同社のグローバルなハニーポットネットワークは、2026年7月に13万1,922件の異なるユーザー名・パスワードの組み合わせを記録した。しかし、これらの観測結果は、パスワードが実在するアカウント由来であることを裏付けるものではない。

この違いは、有用な脅威テレメトリーと盗まれた認証情報のデータベースを分ける重要な点だ。このプロジェクトが示すのは、自動スキャナーが開放されたSSHサービスに遭遇した際に何を試すかである。どの組み合わせが他の環境で通用するのか、誰がそれらを集めたのか、あるいは攻撃者が過去の侵害からコピーしたのかまでは示していない。

この議論が重要なのは、防御側が認証失敗ログを誤読しがちだからだ。こうしたトラフィックを無害なバックグラウンドノイズとして退ける人もいる。一方で、試行されたすべてのパスワードを、現在進行中の侵害キャンペーンの証拠とみなす人もいる。現実はその中間にあり、収集方法をより詳しく見る必要がある。

ハニーポットネットワークは153万件のログイン試行を記録した

このプロジェクトが取得したのは自動化されたSSH認証情報攻撃の大規模サンプルであり、動作が確認されたパスワードのコレクションではない。

Uphill Securityは8月2日、ネットワーク運用開始後初となる完全な1か月分を対象とした調査結果を公開した。ハニーポットの調査結果は、2026年7月と15台の専用サーバーを対象としている。

これらのサーバーでは、5社の仮想プライベートサーバープロバイダーにまたがる15個のパブリックIPv4アドレスを使用していた。大半は欧州に配置されていたが、インフラは世界の複数地域にまたがっていた。各アドレスでは、TCPポート22で低対話型SSHハニーポットを公開していた。

低対話型ハニーポットは、完全な運用環境を提供せずに攻撃者を引き付け、記録するのに十分な範囲でサービスを模倣する。このケースでは、認証試行を受け付け、送信されたユーザー名とパスワードを記録した。侵入者が実際のシェル環境で操作することは許可しなかった。

ネットワークは、6,790件のユニークIPアドレスから153万1,053件のログイン試行を観測した。これらの試行には、1万2,238件のユニークなユーザー名、9万7,621件のユニークなパスワード、13万1,922件の異なるユーザー名・パスワードの組み合わせが含まれていた。

最も多かった組み合わせはrootと123456で、3,861回試行された。ほかに多かった組み合わせには、rootとroot、password、12345678、admin、および複数の短い数字列が含まれていた。

攻撃者はユーザー名rootを64万8,133回試した。これはデータセット内の全認証試行の42％超を占める。次に多かったユーザー名はadmin、ubuntu、user、testだった。

パスワード123456は7万3,592回出現した。ほかに頻繁に使われたものには、123、1234、password、12345678、12345が含まれる。これらの値は、既知の脆弱なパスワード辞書や予測可能なデバイス初期設定に似ている。

この結果は、一部のスキャナーが必要とする偵察がいかに少ないかを示している。標準ポートでSSHを公開するサーバーには、一般的な管理者アカウントを狙う試行が直ちに届く。運用者がシステムを宣伝したり、公開ディレクトリに掲載したりする必要はない。

ただし、この実験は認証試行のみを数えた。ネットワークスキャンや他のプロトコルへの攻撃は対象外だった。また、ハニーポットはログイン後の挙動ではなくログイン情報の送信内容を収集するよう設計されていたため、侵入に成功した攻撃者を追跡していない。

この境界は極めて重要だ。このデータセットが示すのは、スキャナーが15台のおとりサーバーに提示した内容である。同じ組み合わせを受け入れた本番システムがどれほどあったかを直接明らかにすることはできない。

Hacker Newsでの議論が「harvesting」に焦点を当てた理由

意見の相違は測定結果が実在するかどうかではなく、送信された認証情報が実際には何を表すのかにある。

複数のHacker Newsコメント投稿者は、記事における「harvesting」という表現に異議を唱えた。その懸念は、自動化ボットが認証情報をハニーポットに奪われたのではなく、提供したにすぎないという点にあった。このネットワークが収集したのは攻撃者の入力であり、攻撃者が管理するシステムから抽出した秘密情報ではない。

ある議論スレッドでは、ほとんどの組み合わせは統計的には興味深いものの、運用上は価値がないと論じられた。ランダムなスキャナーがroot:123456を試したからといって、無関係なサーバーがその組み合わせを使っている証拠にはならない。

この批判には十分な根拠がある。認証情報は通常、特定システムへのアクセスを許可する認証子と、主張されたIDを結び付けるものだ。対応するホストやサービスがなければ、ユーザー名・パスワードの組み合わせには検証に必要な文脈が欠けている。

珍しい組み合わせであっても慎重さが必要だ。ボットは辞書からそれらを生成し、既知の初期設定を変形し、流出した単語を組み合わせ、あるいは過去のキャンペーンで収集されたリストを再利用している可能性がある。ハニーポットは、認証記録だけからこれらの由来を区別できない。

したがって、「harvesting」という言葉は、実験で確認された範囲を超える印象を与えかねない。読者は、このデータセットに稼働中のシステムから盗まれたパスワードが含まれていると推測するかもしれない。公開された手法はその結論を支持していない。

それでも、このデータを無価値と呼ぶのは行き過ぎだ。繰り返し送信される内容は、自動化された攻撃インフラに組み込まれた前提を明らかにする。攻撃者がどのアカウントの存在を見込んでいるのか、どの初期設定が依然として魅力的なのか、特定の発信元がどれほど積極的に活動しているのかを示している。

このプロジェクトはサービスアカウントへの標的設定も浮き彫りにした。rootやadminに加え、スキャナーはpostgres、oracle、git、ftpuser、deploy、deployerを試していた。これらの名称は、一般的なソフトウェア上の役割やデプロイ慣行に対応している。

一部のエントリーは、現在のテクノロジートレンドの影響を受けているように見える。ユーザー名claudeには5,993回、solanaには8,223回の試行があった。これらのラベルはキャンペーンによる標的設定を証明するものではないが、攻撃用辞書が認知度の高いソフトウェアや製品の用語を取り込んでいることを示している。

有用な解釈では、送信された各組み合わせを攻撃者の仮説として扱う。スキャナーは、ホストが弱いパスワードまたは初期パスワードを持つ特定アカウントを公開している可能性を予測している。繰り返しは、スキャンツールにおける確信、利便性、または広範な再利用を示す。

このため、記録は防御テストにとって価値がある。管理者は観測されたユーザー名をローカルアカウントと照合し、パスワード認証が無効化されていることを確認し、ログから集中的な推測パターンを検索できる。

ただし、これらの記録は攻撃の帰属を判断する証拠としては不十分である。観測されたIPアドレスは、侵害されたサーバー、プロキシ、レンタルされた仮想マシン、あるいは別の仲介手段を通じて制御されたインフラに属している可能性がある。地理情報が示すのはネットワーク登録地または推定位置であり、責任を負う人物ではない。

この議論は最終的に、プロジェクトの価値を高めている。目を引くデータセットが幅広いテクノロジー読者に届く際、読者に生のテレメトリーとより強いセキュリティ上の主張を区別させるからだ。この規律は重要である。

地理情報が示すのはインフラであり、攻撃者の身元ではない

発信元の分布はトラフィックがどこから出現したかを示すが、運用者が居住・活動していた場所を確実に特定することはできない。

ハニーポットネットワークは、129か国、1,334の自律システムにわたる接続元を記録した。自律システムとは、1つのネットワーク事業者の管理下にあるインターネット経路の集合である。

アジアからは4,084件のユニークな発信元アドレスが確認され、全体の60.1％を占めた。欧州は1,294件、北米は832件だった。残りのアドレスは南米、アフリカ、オセアニアに割り当てられた。

トラフィック量では異なる様相が見られた。欧州のアドレスは92万1,439件、全ログインの60.2％を生成した。アジアの発信元は、ユニークアドレス数が大幅に多かったにもかかわらず、45万3,254件の試行を生成した。

この対照は集中度を反映している。欧州の発信元は、観測されたアドレス1件当たり平均712.1回の試行を行った。北米は平均117.1回、アジアは平均111回だった。

国別では、中国が1,653件で最も多くのユニークアドレスを出した。米国が721件で続き、インドは458件、ベトナムは338件だった。

総試行数ではオランダが首位で、観測された276件のアドレスから68万6,449件の送信を行った。これはデータセット全体の44.8％に当たる。中国は11万2,793件、米国は7万2,314件の試行を行った。

これは、オランダの居住者が活動のほぼ半分を行ったことを意味しない。ホスティングセンター、リレー、感染したサーバー、レンタルインフラによって、トラフィックは特定のネットワーク地域に集中し得る。1つの自動化クラスターが、活動の少ない数千の発信元よりはるかに多くの試行を生成することもある。

自律システムの結果もこの教訓を裏付けている。Microsoftのネットワークには、303件と、観測されたユニークアドレスが最も多く含まれていた。しかし別のネットワークであるTechTiesは、110件のアドレスから44万8,559件の試行を生成した。

クラウドおよびホスティングプロバイダーは、発信元リスト全体に現れている。DigitalOcean、Oracle、OVH、Alibaba、Tencent、Google、および複数の通信ネットワークはいずれもトラフィックを記録した。これらの企業が活動に関与していたことを意味するものではない。

攻撃者がホスティングインフラを好むのは、安定した帯域幅と迅速なプロビジョニングを利用できるためだ。また、正規のサーバーを侵害し、それらのマシンをスキャンノードとして利用することもある。どちらのパターンも、単純な国レベルの帰属判断を弱める。

データにはサンプリング効果もある。ハニーポットの60％は欧州に配置されていた。サーバーの場所は、ルーティング、レイテンシー、スキャン時の可視性、そして限られた観測期間中にどのキャンペーンがアドレスに遭遇するかに影響し得る。

15個のアドレスは意味のある観測を提供するが、世界的なSSH悪用の代表的な国勢調査ではない。アドレスの評判も影響する可能性がある。新たに割り当てられたIPは、以前に別のサービスと関連付けられていたアドレスとは異なるトラフィックを引き付けるかもしれない。

プロジェクトの今後の拡張により、地理的比較はより有益になるはずだ。アドレス数の増加、地域間でバランスの取れた配置、毎月の反復測定により、持続的なパターンと短命なキャンペーンの急増を区別しやすくなる。

センサーごとの結果を公開すれば、さらに別の視点が加わる。ある1台のハニーポットがオランダ由来のトラフィックの大半を受信していた場合、研究者はスキャナーが狭いアドレス範囲を標的にしていたかを調べられる。すべてのセンサーで類似の挙動が見られたなら、キャンペーンはより広範にスキャンしていた可能性が高い。

防御側にとって、運用上の教訓は地図より単純だ。このサンプルに基づいて国全体をブロックしても、誤った安心感を生む。レート制限、鍵ベース認証、アカウント制限、監視は、攻撃手法により直接的に対処する。

SSH認証情報攻撃がログイン成功後に何へと変わるのか

失敗した推測は、1件が成功するまではバックグラウンドトラフィックにすぎない。しかし成功後、同じ自動化によってサーバーが攻撃インフラへと変えられる可能性がある。

このハニーポットはログイン後のコマンドを観測していないため、スキャナーが次に何を行う意図だったかは分からない。独立したインシデント調査は、その不足している文脈を補う。

MITREはパスワード推測を認証情報アクセスの手法として分類し、TCPポート22のSSHを一般的な標的として挙げている。そのパスワード推測の項目では、繰り返される失敗の後に成功する可能性があるというパターンも、重要な検知指標として説明されている。

パスワードが1つ成功すると、単に対話型ターミナルが露出するだけではない。そのアカウントから、ソースコード、環境ファイル、秘密鍵、クラウドトークン、データベース認証情報、またはデプロイシステムにアクセスできる可能性がある。

権限によって、即時に生じる被害の大きさは決まる。root ログインは攻撃者に広範な制御権を与える。制限されたサービスアカウントであっても、弱いファイル権限や継承された認証情報を通じて、価値のあるデータを露出させたり、横移動を許したりする可能性がある。

攻撃者は、永続化のために SSH の認可設定を変更することもある。MITRE は、クラウド管理インターフェースを介した場合を含め、攻撃者が管理する鍵を authorized_keys に追加する手法を記録している。鍵が埋め込まれると、元のパスワードが変更された後でも侵入者は再びアクセスできる。

Microsoft は、自動化された SSH ブルートフォースから始まるマルウェアを記録している。同社の Linux 脅威分析では、ログイン成功後に悪意あるスクリプトが実行され、IRC で制御されるボットへと移行する流れが説明されている。

このボットネットは、分散型サービス妨害活動と任意コマンドの実行を支援していた。ほかの Linux 侵害では、乗っ取られたシステムが暗号資産マイニング、スパム配信、スキャン、またはプロキシ通信に利用される。

別の Linux 攻撃調査では、段階的なスクリプトダウンロードを経た SSH ブルートフォース侵害の成功が追跡された。影響を受けたサーバーはその後、より広範な悪意ある活動の足掛かりとなった。

これらの事例は、繰り返される失敗に注意を払うべき理由を示している。スキャナーは、低コストで数千通りの弱い組み合わせを試行できる。その労力は、公開されたアカウントが1つでもあれば回収できる。

また、Uphill Security のデータセットをパスワード漏えいとして扱うべきでない理由も示している。重要なシグナルは、それらの推測を取り巻く自動化ワークフローにある。攻撃者は、よく使われる認証情報が依然として有効なシステムを絶えず探している。

root の結果は、リスクと利便性の最も明確な不一致を浮き彫りにする。本番環境の管理者は、緊急時の運用のために root アクセスを残すことがある。ボットは、そうしたシステムの一部でパスワード認証も許可されていると想定している。

サービスアカウントは、より見えにくい問題を生む。チームは自動化のために git、deploy、またはデータベース用のユーザーを作成し、その後、対話的ログインの権限を見落とす場合がある。古いデプロイスクリプトによって、元のワークフローが変わった後もパスワードが残り続けることがある。

対話シェルを無効にすることは有効だが、管理者は SSH 設定全体を確認しなければならない。ポートフォワーディング、コマンド実行、ファイル転送、強制コマンドの挙動は、それぞれ認証後の異なるアクセス経路を生み得る。

クラウド権限は、潜在的な被害範囲を広げる。侵害された仮想マシンは、インスタンスメタデータ、付与された ID、内部サービス、またはデプロイ用シークレットにアクセスできる可能性がある。ローカルアカウントが、より大きな環境への侵入口になり得る。

ここで SSH ハニーポットのデータが運用上役立つ。どのユーザー名が日常的に狙われているか、また公開サービスを保護する上で秘匿性がどれほど乏しいかをチームに示す。また、アラートとレート制御の検証に使える現実的な入力も提供する。

問うべきなのは、試行されたすべての組み合わせが有効かどうかではない。本番環境のアカウントのいずれかが、そのうち1つを受け入れてしまう状態にあるかどうかだ。

データはハードニングを裏付けるが、普遍的な結論は導けない

この実験はパスワードベースの露出を排除すべき根拠を強める一方で、いくつかの研究課題を未解決のまま残している。

最も明確な防御策は、管理用 SSH アクセスで公開鍵認証を必須にすることだ。秘密鍵は、人が選んだパスワードよりもオンラインでの推測に対してはるかに強い耐性を持つ。

CISA は、可能な場合は公開鍵認証を必須にし、パスワード認証を無効化するとともに、繰り返し試行を制限するよう管理者に助言している。同機関の SSH ハードニングガイダンスでは、管理サービスを通常のインターネットトラフィックから分離することも推奨している。

SSH を別のポートへ移しても、ノイズの多いスキャンは減らせるが、認証制御の代わりにはならない。広範なスキャナーは非標準ポート上のサービスも発見できる。ポート変更が主に減らすのは、洗練されていないトラフィックとログ量だ。

直接の root ログインを無効化すれば、パスワードベースのアクセスで最も標的にされる ID を排除できる。管理者は代わりに、名前付きアカウント、限定された権限、管理された権限昇格を使用すべきだ。

未使用のサービスアカウントも見直す必要がある。git や deploy アカウントは、そのワークフローに必要な機能だけを公開すべきだ。設定では、サービスに不要なシェル、フォワーディング、サブシステム、コマンドを拒否すべきである。

レート制限は、もう1つの防御層を加える。NIST は、オンラインでのパスワード推測に対する主要な防御策としてスロットリングを挙げている。同機関の パスワードガイダンスも、恣意的な複雑性ルールより、ブロックリストと機械生成された認証情報を推奨している。

ログは、失敗とその後の成功を結び付けるべきだ。あるアドレスから1万件のパスワードが拒否されても、ノイズは大きいが封じ込められている可能性がある。繰り返し失敗した後のログイン成功は、即時の調査を要する。

チームは、認証後に何が起きるかも監視すべきだ。新しいプロセス、外部へのスキャン、予期しない帯域使用、変更された鍵、スケジュールされたタスク、隠しディレクトリ、マイニングプールへの接続は、侵害の兆候となり得る。

ネットワーク分離は、見逃したアラートの影響を軽減する。公開ワークロードに、管理システム、機密データベース、認証情報ストアへの無制限なアクセスを与えるべきではない。認証に失敗した後も、最小権限は重要である。

ただし、Uphill Security プロジェクトには依然として重要な限界がある。1か月間に観測された15の IP アドレスでは、すべての地域、プロバイダー、または季節を説明できない。キャンペーンは開始と停止を繰り返し、スキャナーは辞書を調整する。

ハニーポットは送信された値を記録したが、外部サービスに対して検証はしていない。このような検証は倫理的に危険であり、違法となる可能性もある。研究者は、収集した組み合わせを無関係なシステムに対して試すべきではない。

このプロジェクトは、復元可能な認証情報文字列も公開している。値は攻撃者に由来するものの、偶然または使い回しにより実在するパスワードと一致する可能性がある。今後の公開ではハッシュ化を行えば、不必要な露出を抑えつつ頻度分析を支援できる。

著者はすでに、計画中の改善項目としてパスワードのハッシュ化を挙げている。既知のパスワードリストとの照合により、一般的な辞書入力と異例の値を分けることもできる。このプロセスでは、合法的かつ責任を持って取得された参照データを使うべきだ。

より詳細な時刻情報があれば、キャンペーンの構造が明らかになる。研究者は、送信元ネットワーク、認証情報の順序、接続の挙動、センサーのカバレッジごとに急増をグループ化できる。類似するシーケンスは、攻撃者の帰属を必要とせずに、共通するスキャンソフトウェアを示す可能性がある。

より高いインタラクション性を持つ環境なら、認証後に何が起きるかを示せるが、リスクも大きくなる。そのようなハニーポットでは、侵入者を封じ込め、外部への悪用を制限し、おとりが他のシステムに害を及ぼさないようにしなければならない。

これがプロジェクトの中心的なトレードオフを生む。シンプルなハニーポットは、広範な認証テレメトリーを安全に取得できる一方、行動面の深さに欠ける。現実的なシステムはより豊富な証拠を提供するが、封じ込め、法務、運用面での要求を増大させる。

現在の結果は、攻撃者が予測可能なアカウントを繰り返し試すため、実践的なハードニングを裏付けている。一方で、世界規模の侵害率、攻撃者の国籍、または131,922組の認証情報ペアが現実に有効であることについての主張を裏付けるものではない。

Hacker News での注目後に注視すべきこと

次の段階では、これらのパターンが持続するか、キャンペーンがセンサー間で集約されるか、認証後に成功したボットが何を試みるかを検証すべきだ。

最初のシグナルは月ごとの一貫性だ。次の収集期間では、root、admin、短い数字だけのパスワードが依然として優勢かどうかを確認できる。ランキングが安定していれば、標準的な辞書が活動の多くを支えているという結論を補強する。

ランキングの大きな変化は、キャンペーンの入れ替わりを示すだろう。製品固有のユーザー名が急増した場合、新たな標的化、漏えいした設定パターン、または1つのスキャナーがネットワークを繰り返し巡回していることを反映している可能性がある。

2つ目のシグナルは、センサーレベルの分布である。アドレス別および地域別の統計により、大量のトラフィックがネットワーク全体に到達しているのか、1つのサブネットに集中しているのかが明らかになる。この違いは、オランダでの急増の解釈を改善する。

地理的にバランスの取れた配置は、比較の信頼性を高める。現在は欧州に集中しているため、生の大陸別合計を一般化するのは難しい。プロバイダーを増やせば、1つのホスティング会社のアドレス履歴による影響も減らせる。

3つ目のシグナルは、管理された認証後の挙動である。慎重に隔離された環境なら、選択したおとりの組み合わせを受け入れ、攻撃者が最初に発行するコマンドを記録できる。これにより、認証情報の推測と測定可能な目的を結び付けられる。

封じ込めを最優先しなければならない。環境は、外部へのスキャン、スパム、サービス妨害トラフィック、実際のシークレットへのアクセスを遮断すべきだ。研究者には、明確な保持、プライバシー、開示に関する方針も必要となる。

今後の公開では、可能な限り生成された推測と使い回されたリストを区別すべきだ。スキャナーは認証情報を一定の順序で送信することが多いため、シーケンス分析が役立つ。IP アドレスをまたいでその順序を照合すれば、共通するツールを特定できる。

復元可能なパスワードではなくハッシュを公開することも、研究設計を改善する。読者は、攻撃者が送信した平文のリストを受け取ることなく、文書化された手順で既知の弱い値を比較できる。

Hacker News での反応は、すでに有益な修正をもたらしている。大きな数値には正確なラベルが必要だ。「送信された認証情報ペア」は証拠を正確に表す。「収集された認証情報」は、実験で一度も検証していない有効性を示唆しかねない。

運用担当者にとって、次の行動は将来の研究を待つ必要がない。インターネットに公開されたすべての SSH サービスを棚卸しし、パスワード認証が無効になっていることを確認し、サービスアカウントが意図した以上のアクセスを許可していないか見直すべきだ。

チームは、そうした判断をインシデントノート、設定、認証の証拠とともに保管すべきだ。検索可能なエンジニアリングナレッジベースは、ローカルドキュメントにまたがる運用コンテキストのつながりを維持するのに役立つ。

そして、1つの直接的な問いを投げかけてほしい。今夜、自動化されたスキャナーが root:123456 を試したとき、あなたのサーバーは単にその試行をログに残すだけだろうか。それとも、誰かのインフラストラクチャになってしまうのだろうか。