【メタデータ・人物OSINT編】画像・文書・SNSから人と組織を辿る｜CTF思考フレームワーク R08

こんにちは、アンペンです！偵察ルートR08はメタデータ・人物編。画像のExif・文書のプロパティ・SNSの投稿に残る『中身以外の情報』を読み解き、撮影場所や作成者を割り出すOSINTの作法を扱います。倫理が最も問われる回なので、線引きも一緒に確認します。

ファイルには、本文や絵柄とは別に、“見えない署名”のような情報がくっついています。いつ、どの機材で、誰が作ったか——それが今回のテーマ『メタデータ』です。便利な反面、無意識のうちに自分の居場所や本名を世界に晒してしまうこともある。だからこの回も、練習はあくまで“自分の情報”で。実在の他人を追いかけるのは、技術ではなくストーキング——この一線を、最初にしっかり握っておいてください。

写真をSNSに上げるだけで、家がバレるって本当？

条件が揃えば本当にある。写真にはExifという撮影メタが埋まっていて、位置情報ONならGPS座標まで入る。多くのSNSは除去するけど、原本配布や一部サービスでは残る。だから投稿前のメタ除去が大事なんだ。

メタデータの3系統

• ①画像のExif:撮影日時・GPS座標(緯度経度)・カメラ機種/シリアル・撮影設定。位置情報ONのスマホ写真が最も危険
• ②文書のプロパティ:作成者名・組織名・作成/編集日時・使用ソフトとバージョン・変更履歴(Track Changes)・隠しテキスト・テンプレ由来の社内パス
• ③SNSの痕跡:投稿時刻(生活リズム)・背景(表札・制服・看板)・位置タグ・相互フォロー(人間関係)

3つを一言でまとめると、画像は『どこで撮ったか』、文書は『誰が作ったか』、SNSは『どんな生活か』を漏らします。とくに要注意は、画像のGPS座標と、文書の“変更履歴”。前者は家を、後者は『社外に出す前の本音コメント』を、そのまま外へ運んでしまう。どれも“中身”ではなく“付帯情報”なので、本人が気づきにくいのが厄介なところです。

なぜ「中身以外」が雄弁なのか

ここまでは『ファイル』が漏らす情報の話でした。ここからは少し角度を変えて、『人』をたどるOSINTに踏み込みます。ただ——ここからは技術の話と同じくらい、いや、それ以上に“倫理”が重くなります。同じ手口が、自分に向ければ自己点検、他人に向ければ加害になる。だから読み進める前に、もう一度だけ深呼吸して、『これは自分の露出を点検するための知識だ』と、心に置いておいてください。

人物OSINT:点を線にするピボット

人物に関するOSINTの肝はピボット——一つの手がかりから別の情報源へ横展開することです。とくにハンドル名の使い回しが典型的なピボット点で、珍しい名前ほど芋づる式につながります。ただしここから先は倫理の崖が待っています。

なぜ『倫理の崖』なのか、はっきり言葉にします。ハンドル名から複数のアカウントをつなぎ、投稿の背景から生活圏を割り出す——この一連の作業は、相手が“自分”なら自己点検ですが、相手が“実在の他人”になった瞬間、ストーキングそのものに変わります。技術的に『できる』ことと、法的・倫理的に『やってよい』ことは、まったくの別物。少しでも『これ大丈夫かな』とよぎったら、そこが崖の縁です。迷わず引き返してください。

CTFでやってみよう:自分の痕跡を点検

では、ここまでの知識を“自分を守る”側に丸ごと振り向けましょう。攻撃者がメタデータのどこを読むのかを知っていれば、出す前にそこを消しておけばいい。守りは、攻めの裏返しなんです。次のチェックリストは、画像・文書・SNS・ハンドルの4方向から、その“見えない署名”を一つずつ消していく、自衛のための手順をまとめたものです。

守る側:痕跡を残さない

リストが多くて気後れするかもしれませんが、全部を完璧にやる必要はありません。まずは一番効く2つ——『写真の位置情報をオフにする』と『文書は配布前にプロパティを消す』——から始めれば十分です。あとは気づいたときに、一つずつ足していけばいい。“見えない署名”は、消した数だけ確実に、あなたの安全度を上げてくれます。

「できる」と「やってよい」は別…肝に銘じるよ。

その姿勢が一番大事。技術より倫理が先だよ。次はR09、クラウド資産編。S3バケットやコンテナレジストリ、メタデータサービスといった『クラウド特有の入口』を扱うよ。

まとめ:『裏側を読む』技術と倫理

今日の持ち帰りは、技術と倫理の2つです。技術面では『ファイルも人も、中身以外が雄弁に語る』。倫理面では『その力は、まず自分を守るために使う』。メタデータを読む目を持つと、自分がどれだけ無防備に痕跡を撒いていたかに気づけます。その気づきを“自衛”に変えること——それが、この回のいちばんの目的です。

次はR09、クラウド資産編。オンプレとは違う「クラウド特有の攻撃面」を読み解きます。

次に読みたい記事

参考資料