あなたの裏垢は80%の確率で特定される──特定業者が使う追跡テクニックの全貌と完全防衛マニュアル

(本記事の文字数:約13,000文字)

あなたの「裏垢」は今、この瞬間も追跡されているかもしれない。企業の採用調査会社による特定率は80から88パーセントに達し、年間数千件のSNSアカウント特定が日常的に行われている。就活生、恋人の浮気を疑う配偶者、誹謗中傷の被害者、そしてストーカー――裏垢を特定したい動機は数限りなく存在する。

本稿では、特定業者やOSINT実務者が実際に使用している追跡テクニックを完全解説し、それぞれに対する具体的な防衛策を提示する。攻撃手法を知らなければ、防御は不可能だからだ。なお、本稿で扱う手法はすべて公開情報に基づくものであり、不正アクセスやプライバシー侵害を推奨するものではない。あくまで自分の情報がどう漏れうるかを理解し、適切に防衛するための知識として活用してほしい。

第1章:ユーザーネームからの追跡テクニックと防衛策

クロスプラットフォーム検索の脅威

裏垢特定において最も基本的かつ強力な手法が、ユーザーネームのクロスプラットフォーム検索だ。人間には同じユーザーネームを使い回すという根深い習慣がある。X（旧Twitter）で@tanaka_yuki_88を使っている人物が、Instagramでもtanaka_yuki_88を、GitHubでも同じIDを使っていることは珍しくない。

OSINT実務ではSherlock、Maigret、WhatsMyNameといった専用ツールが使われる。これらは数百のWebサービスに対して一括でユーザーネームの存在確認を行い、同一人物が使用している可能性のあるアカウントをリストアップする。たとえばSherlockは400以上のサイトを対象に検索を実行でき、対象者が意識すらしていないマイナーなサービスのアカウントまで発見する。

特定業者はこれをさらに発展させ、ユーザーネームの変異パターンも探索する。tanaka_yuki_88が見つからなければ、tanakayuki88、yuki_tanaka88、t.yuki88、yukitanaka_など、人間が自然に作り出す派生パターンを推測して検索をかける。2023年のサイバーセキュリティ企業の調査では、一般的なインターネットユーザーの約72パーセントが、3つ以上のプラットフォームで同一または類似のユーザーネームを使用していることが明らかになっている。

防衛策として最も重要なのは、裏垢のユーザーネームと本垢のユーザーネームの間に、いかなる共通パターンも持たせないことだ。名前の断片、生年月日、好きなキャラクター名など、自分に紐づく要素をIDに含めてはいけない。理想的には、ランダムな文字列を使うか、自分との関連性がまったくないワードを組み合わせる。パスワードマネージャーでランダム文字列を生成し、それをIDとして使うくらいの徹底が望ましい。また、プラットフォームごとに完全に異なるIDを使用することも重要だ。一つのIDが特定されたとき、芋づる式に他のアカウントが発見されるリスクを断ち切ることができる。

ユーザーネームに含まれる個人情報の解析