OSINTとは？公開情報だけで身バレする仕組みと、トレーダーが今日できる自衛チェック

「OSINT（オシント）」という言葉を、最近よく見かけます。公開されている情報を集めて分析する方法のことで、セキュリティの世界では、攻撃者の下調べにも使われます。

この記事では、公開情報だけで身元が絞られていく仕組みを整理し、FXのトレーダーが自分の情報の漏れを自分で確かめる手順をまとめます。他人を調べる方法は扱いません。

疑う気持ちはもっともだよ。まず言葉を整理するね。

OSINTはOpen Source Intelligenceの略で、誰でも見られる公開情報を集めて、つなぎ合わせて分析することを指します。材料は、Webサイト、SNS、公的なデータベースなどです。

ここでの「オープン」は、プログラムのオープンソースではなく、公開されている情報源という意味です。もとは情報機関で使われてきた言葉で、今はセキュリティの専門家が脅威の兆候を探すときにも使われます。

そうなんだ。OSINTは情報の集め方の名前で、使う人と目的で意味が変わります。

ただし、セキュリティ会社は、サイバー犯罪者が標的を狙う前の下調べ（偵察）に使うことがあると説明しています。下調べで得た情報は、本人になりすました連絡や、だますためのメールの材料になることがあります。

たとえるなら、公開情報はパズルのピースです。1枚だけでは何の絵か分かりませんが、集めて並べると、全体の絵が見えてきます。

たとえば、こんな人がいたとします。投稿は平日の夜と休日に集中していて、損益のスクショの端に取引ソフトの接続先が写っていて、ブログとSNSで似たIDを使っています。

単独では本人と結び付きにくい情報でも、重なると「平日の昼は別の仕事をしていそう」「使っている業者はここ」「あのブログの人かもしれない」と、候補が絞られていきます。

ただし、位置情報や氏名のように、単独でも危険な情報もあります。

ただし、ピースが集まっても、絵が完成するとは限りません。必ず特定されるわけではなく、材料が多いほど近づかれやすい、という話です。

だから対策は、ピースを1つずつ減らすことです。次の章で、どんなピースが出やすいかを見ていきます。

FXのトレーダーは、取引画面や損益を載せる機会が多いので、ピースが増えやすい立場にあります。

どの場所に、何が残りやすいかを表にまとめます。以下はすべて一般的な例です。

取引ソフトは、画面のあちこちに情報を出しています。MetaTrader 5の公式ヘルプでは、使った口座がサーバー名ごとにまとめてナビゲーターに表示されると説明されています。

iPhone版では、口座一覧に名義・口座番号・サーバー名・最後に確認された残高が出て、口座管理の画面には所有者の名前・メール・電話番号も出るとされています。

つまり、画面の端に、口座番号やサーバー名、名義やメールなどが写り込むことがあります。ほかにも、画面の時計、タスクバーのアプリ、ブラウザのタブ、通知が写り込みます。お使いの取引ソフトで、どこに出るかを自分の画面で確かめてください。

それは有効だよ。自分も載せる前に、口座番号やサーバー名が写っていないかを見て、数字の部分だけを切り抜いています。

それでも以前、口座番号などが写ったままのスクショを載せかけたことがあります。SNSで成績のスクショを見ていても、業者名やサーバー名、時刻まで読めるものをよく見かけます。

もう1つ覚えておいてほしいのは、写り込むのが数字や名前だけではない点です。

画面の言語表示、時計の時刻とタイムゾーン、OSの通知や透かしといった環境の情報も写ります。名前や設定を使い分けても、環境の情報が食い違うと、かえって目立つことがあります。

iPhoneの場合、Appleのサポートでは、カメラの位置情報サービスをオンにしていると、写真やビデオに撮影場所の座標が埋め込まれると説明されています。位置情報を含む写真を共有すると、共有相手が撮影場所を知ることができる場合があります。

Androidでも、カメラの設定で撮影場所の記録をオン・オフできます。撮った後の写真から位置情報を削除したり、共有するときに除いたりできるかは、機種とアプリによります。

Android公式サイトの案内（2022年3月の記事）では、カメラが自動で付けた位置情報は後から削除できないとされています。

Googleフォトのヘルプでも、カメラが付けた撮影場所はGoogleフォトで更新も削除もできないとされています。一方、Samsungの公式更新案内には、ギャラリーで写真の位置情報を変更・削除できる機能が載っています。

機種とアプリで違うので、撮る前の設定で確かめるのが確実です。

そうなんだ。位置情報（座標）は消せても、写っているものは消えません。看板、窓から見える建物、ガラスや画面への反射は、写真の中身そのものです。

投稿された画像の位置情報をどう扱うかは、サービスによって違います（下の「よくある質問」にまとめました）。消してくれると決めつけず、載せる前に自分で消すのが確実です。

投稿する時刻は、本人が思っているより多くを語ります。毎日同じ時間帯に出る、平日の昼には出ない、夜にだけ実況する、といったくせは、生活リズムを映します。

1回の投稿ではただの時刻でも、何回分も並ぶと、勤務の有無が読まれることがあります。

面倒でも、使い回しはつながりの手がかりになります。同じID・同じアイコン・似たプロフィール文があれば、別のサービスのアカウントが同じ人のものだと推測されやすくなります。

トレード用のアカウントと私生活のアカウントで、IDやアイコンが同じなら、トレード用の投稿から私生活の投稿へたどられることになります。

あるよ。Word・Excel・PowerPointなどの文書は、本文には見えないプロパティ（メタデータ）を持っています。Microsoftの公式サポートでは、作成者、件名、タイトル、最後に保存したユーザーの名前、作成日などが含まれると説明されています。

共有する前に確かめる機能が「ドキュメントの検査」です。先に元のファイルのコピーを保存し、コピーで「ファイル」→「情報」→「問題のチェック」→「ドキュメントの検査」を開きます。調べる項目を選んで「検査」を実行します。

結果を見て、削除する項目の横の「すべて削除」を選びます。公式の案内では、削除したデータは元に戻せないことがあり、すべての情報を削除できるわけではないとされています。

なお、プロパティの名前は入力された値で、実際の作成者を証明するものではありません。

PDFや画像などほかの形式と、Macでの手順は、この記事では公式の説明を確認できていません。

配る前や投稿する前に、そのファイルのプロパティ（詳細情報）に、自分の名前や会社名などが入っていないかを、自分で開いて確かめてください。

サイトを運営している人は、ピースがさらに増えます。見落としやすいものを3つ挙げます。

ここからは、自分のものだけを確かめる手順です。他人のアカウントや、他人のサイトを調べる必要はありません。

全部で5項目あります。サイトを運営していなければ、STEP5は飛ばしてかまいません。

いいよ。早見表を先に出すね。下のSTEPと同じ順番・同じ言葉でまとめています。

そうだね。自分でも5項目を点検してみたら、投稿の時間帯に偏りがあって、サイトの設定にも直したところがありました。カメラの位置情報もオンのままで、以前サイトに載せた写真に撮影場所が残っていたので、消しました。

点検で、漏れは減らせます。ただし、完全には防げません。過去に公開した情報や、他人が載せた情報、すでに保存された画像までは、消しきれないことがあります。

一度に全部を直さなくても、スクショと写真の位置情報の2つから始めるだけで、ピースは減ります。

落ち着いて、順番に確認しよう。身の危険を感じるときや、つきまとい・脅しがあるときは、ためらわずに警察へ相談してください。

警察の窓口は、公式の案内で確認できたものを挙げます。

緊急の場合は110番です。サイバー事案は、警察庁が全国統一のオンライン受付窓口（通報・相談・情報提供）を設けていて、各都道府県警察のサイバー犯罪相談窓口も案内されています。

犯罪にあたるかどうか分からない場合は、警察相談専用電話の「#9110」が使えます。警察庁の案内では、全国どこからでも、電話をかけた地域を管轄する警察本部などの相談窓口につながるとされています。

ここまでは、投稿や写真から情報が漏れる「見える側」の対策でした。パソコンやVPSの入口を守る話は、次の2本で扱っています。

1本目は、ポートを開けずに自分の端末同士をつなぐTailscaleの記事です。2本目は、WindowsのVPSがログインを何度も試されていないかを、自分で数えて確かめる記事です。