調査方法
最終更新日：2026年10月14日
このページでは、当社のリサーチデータの出どころ、当社が守る範囲、結果の公開方法について説明します。
収集するデータ
digimasi.comには、自動プログラムからのリクエストが毎日届きます。これらのプログラムは、WordPressのログインページ、設定ファイル、バックアップのアーカイブなど、当社のウェブサイトに存在したことのないファイルを探しています。
当社がリクエストを記録するのは、ウェブサイトが「見つかりません」と応答し、かつリクエストされたアドレスが既知のスキャンのパターンに一致する場合に限ります。記録する内容は次のとおりです。
- 日時、リクエストされたアドレス、リクエストメソッド
- IPアドレス、国、接続元ネットワーク
- 使用されたプログラムの識別情報（ユーザーエージェント）
- 存在しないログインページでそのプログラムが試したユーザー名とパスワード
通常の閲覧がこの方法で記録されることはなく、入力ミスのアドレスも記録されません。記録は90日後に削除します。
決して行わないこと
- 当社のものではないシステムをスキャン、テストしたり、ログインを試みたりすること。
- スキャナーを誘い込むためにウェブサイトの応答を変えること。スキャナーが受け取るのは、他の訪問者と同じ「見つかりません」のページです。
- 本ウェブサイト上でIPアドレスを表示すること。ここで示すのは国とネットワークのみです。
- そのまま使える攻撃コードを公開すること。
攻撃者の報告
明らかに攻撃を行っているアドレスは、AbuseIPDBに報告します。世界中の管理者が攻撃者を遮断するために利用している公開データベースです。
報告するのは、24時間以内に本サイトに存在しない機密ファイルを5件以上リクエストしたアドレス、またはログイン試行を送信したアドレスに限ります。偶発的な1回のリクエストは報告しません。報告にはIPアドレス、時刻、リクエストされたアドレスの例が含まれます。試されたパスワードやユーザー名は送信しません。
オープンソースソフトウェアの調査
オープンソースソフトウェアを調べる際は、自社の環境にインストールし、そのコピーだけをテストします。他者が運用中のウェブサイトをテストすることはありません。
問題の報告
見つけた問題は、まずそのプロジェクトの公式なセキュリティ窓口を通じて、開発者に非公開で報告します。記事を公開するのは、修正がリリースされた後、または報告から90日後のいずれか早い方です。この日付は最初の連絡の時点で開発者にお伝えします。
結果の公開方法
- 件数、順位、傾向を、データの対象期間とともに公開します。
- 攻撃者が試したパスワードは、順位として公開することがあります。これらは攻撃者の推測リストに由来するもので、誰かのアカウントのものではないためです。
- 当社のデータは1つのウェブサイトから得たものです。結果は、当社のような企業ウェブサイトが受けている状況を示すもので、インターネット全体を表すものではありません。
当社への問題の報告
digimasi.comでセキュリティ上の問題を見つけた場合は、security@digimasi.comまでご連絡ください。同じ連絡先は/.well-known/security.txtにも掲載しています。