攻撃者視点分析レポート：「nihon-kotsu_lst」ファイルリストから読み取れる侵害の深度と手法

1.分析の目的

本レポートは、リークサイト上に置かれていたとみられるファイルリスト（ nihon-kotsu.lst ）を対
象に、攻撃者が被害組織のデータ構成をどの程度理解・把握した上で窃取に及んだのかを、フォルダ構成・ファイルサイズ等のメタデータのみから客観的に推定するものです。

個々のファイルの中身（個人情報等）には一切アクセスしておらず、本レポートにも具体的な個人名・識別番号等は記載していません。目的は前回同様、攻撃者側の技量・手法の分析と、防御側のデータ構成・アクセス制御の見直しへの示唆を得ることです。

2.データの形式的特徴

総行数：約57万行、テキストサイズ約55.7MB
形式：Linux/Unix系の tree コマンド出力に酷似したフォーマット（ ├── , └── , │ の罫線文
字＋ [サイズ] ＋ファイル名）
前回分析した別事案（ Total files – / Total size – ＋パス一覧形式）とは明確に異なるツール・生成方法であり、少なくとも別の生成プロセス（あるいは別グループ・別アフィリエイト）によるものと判断できます。

技術的推定

この形式は、Windows環境の共有フォルダをLinux系の攻撃用端末（あるいは持ち出し先のマシン）にSMBマウント等で接続した後、tree コマンドで再帰的に構造を書き出した際に典型的に生成されるものです。
ランサムウェア／データ恐喝グループが、リークサイト公開用の「目次（インデックス）」を作成する際によく用いる手法の一つです。

3.到達範囲（アクセスの「広さ」）

第一階層（ルート直下）に存在するのは以下の5項目のみです。

所見

部門配下に63もの拠点名・グループ会社名相当のフォルダが存在することから、攻撃者は単一
の支店・部署ではなく、企業グループ全体の共有ファイルサーバー（あるいはその集約領域）に到達していたと考えられます。

さらに $RECYCLE.BIN まで収集対象に含めていることは、ファイルシステムそのものをフォルダ単位ではなく“ドライブ丸ごと”再帰的に走査・収集したことを裏付けます（通常、業務利用者は自分のゴミ箱を意識的に他人に見せることはありません）。

4.到達深度（アクセスの「深さ」）

パス階層の分布は以下の通りです。

最大深さ14階層まで到達しており、大部分（9割超）が4〜9階層という組織の実務フォルダ構成（年度別・部署別・案件別等の細分化）に沿った深さまで収集されています。これは前回分析した事案と同様、偵察段階の表層的な把握ではなく、機械的な全数収集（フルクロール）に近い挙動です。

5.権限レベルの推定：データベース基盤への到達

最も注目すべき点は SQL_backup フォルダの存在です。

.bak 形式（SQL Serverのデータベースバックアップファイル）が8件。
うち2件がそれぞれ256GB、1件が24GBという、極めて大規模な基幹データベースのバックアップ。
ファイル名は APPLE.bak 、 BANANA.bak 、 ORANGE.bak 、 PLUM.bak 等のコードネームが付与されており、社内の命名規則に従って管理されていたシステムであることがうかがえます。
ReportServer.bak / ReportServerTempDB.bak （レポーティングサーバー用DB）や
ListenerDB.bak も含まれる。

所見

データベースの丸ごとバックアップファイルは、通常、一般業務用の共有フォルダには置かれず、DBサーバーの管理者、あるいはバックアップ運用担当者のみがアクセスできる領域に保管されるのが一般的です。
これが収集対象に含まれているという事実は、以下のいずれかを強く示唆します。

1.バックアップサーバー、または基幹データベースサーバー自体に管理者権限で到達していた。
2.少なくとも、バックアップ運用担当者相当の特権アカウントを奪取していた。

前回の事案（Netwrix監査データ・メールeDiscoveryデータへの到達）と同じく、一般ユーザー権限の侵害だけでは到底説明のつかない、インフラ管理領域への到達が確認できます。

6.内部ネットワーク構造の露出

ファイル名の中に、社内システムへのショートカット（.lnkファイル）が18種類・合計2,251件含まれており、その一部にはショートカット先として 社内プライベートIPアドレス（192.168.x.x帯）が18種類、名前に直接埋め込まれた形で記載されていました（例：顧客情報【…】(192.168.30.1) 等の命名）。

所見

これは攻撃者にとって、追加の偵察活動なしに、社内システムのネットワーク構成（どの業務シ
ステムがどのIPで稼働しているか）が一覧で把握できてしまうことを意味します。攻撃者自身が能動的に調査せずとも、被害組織の従業員が利便性のために作成したショートカットが、結果的に侵入者への「社内ネットワーク地図」を提供してしまっている格好です。

7.収集の「選別性」：無差別収集の裏付け

以下の点から、選別的な標的型窃取ではなく、機械的な全量収集である可能性が高いと判断します。

ごみ箱（$RECYCLE.BIN）まで収集対象
Thumbs.db（画像キャッシュファイル、実務上は無価値）が複数箇所に存在し、いずれも収集対象象に含まれている。
個人のデスクトップショートカット（.lnk）が2,251件という大量に収集されている点も、業務価値が比較的低いと見られるファイルが選別されずにそのまま収集されたことを示している。
一方で、運転免許証画像（推定5万件超）や256GB級のDBバックアップという極めて価値の高いデータも同一の収集対象に含まれている。

高価値データと低価値と思われるデータが混在して収集されている状況は、前回分析した事案同様、「機会主義的・網羅収集型」の攻撃パターンと一致します。

8.特に深刻な公開リスクのあるデータ区分

以下は本ファイルリストから確認できる、機微度の高いデータ区分です（個別の氏名・番号等は一切取得していません）。

運転免許証の表裏画像：推定5万件超。乗務員（ドライバー）個人を特定する身分証明書画像そのもの。
健康診断・診断書関連文書：多数
給与・賞与・振込関連文書（弥生給与フォルダ等、給与計算ソフトの共有フォルダを含む）
健康保険組合関連文書
懲戒・始末書等の人事考課関連文書
顧客情報（ショートカット名に明示されている社内システムを含む）
車両運行関連の動画・位置情報データ（mp4/wmv/mov/avi合計2万件超、GPS関連形式である。nmea形式ファイルが5,600件超）— ドライブレコーダー映像・車両位置情報とみられる。

9.総合評価（攻撃者の技量・手口）

10.防御側への示唆

データベースバックアップの隔離： .bak ファイルは本番共有領域から完全に切り離し、バックアップ専用ネットワークセグメント・専用アクセス権限で管理する。特に数百GB級の基幹DBバックアップが一般共有からアクセス可能な状態は最優先で是正すべき事項。
身分証明書画像等の機微PIIの取り扱い：運転免許証画像のような身分証データは、一般共有フォルダではなく、アクセスログが取得され暗号化された専用の人事情報システムで管理し、ファイルサーバー上に平文画像として大量保存しない運用に見直す。
ショートカットファイルの命名規則の見直し：ファイル・ショートカットの名称に内部IPアドレスやシステム識別情報を直接記載しない運用ルールを徹底する（DNS名や別名で代替する）
不要データの定期的な削除・ごみ箱の自動空化：$RECYCLE.BINやThumbs.db等、業務上不要な残骸データも情報漏洩の対象になり得ることを踏まえ、不要ファイルの保持期間を最小化する。
グループ会社・拠点横断アクセスの権限分離：63の部門・拠点フォルダが同一の共有階層に存在し、横断的にアクセスできる状態は、侵害の影響範囲を組織全体に広げるリスクがある。拠点・グループ会社単位でのアクセス権限の再設計を検討する。
大量ファイル走査・DB接続の監視：短時間に大量のファイル一覧化やバックアップファイルへの読み取りアクセスが発生した場合に検知できる、ファイルサーバー監査ログ・DBアクセス監査の強化。

本レポートはアップロードされたファイルリストのフォルダ構成・ファイルサイズ等のメタデータの統計的分析に基づく推定であり、個別の個人情報には一切アクセスしておらず、本文にも記載していません。また、断定的な帰属（アトリビューション）や攻撃者の特定を行うものではありません。