セキュリティ学習：「トロイの木馬」と「バックドア」の仕組みと違いとは？侵入者の特定は可能か

2025年10月22日

セキュリティを学ぶ上で、「トロイの木馬」や「バックドア」といった用語は頻繁に登場します。これらはしばしば混同されがちですが、その仕組みや目的は異なります。

また、もし仮にこれらの手口で侵入された場合、ログ（痕跡）は残るのか、そして犯人を特定することはできるのでしょうか。

この記事では、セキュリティ学習の視点から、これらのマルウェアの基本的な概念と、侵入経路の追跡に関する思考実験（推理）を分かりやすく解説いたします。

「トロイの木馬」の本質とは？

「トロイの木馬（Trojan Horse）」とは、一見すると無害で有用なプログラム（例：オセロゲーム、便利なツール）に見せかけながら、その裏でユーザーが意図しない悪意ある動作を実行するマルウェアの一種です。

普通のアプリと何が違うのか

例えば、オセロゲームに「ユーザー名」と「メールアドレス」を入力するフォームがあるとします。この入力された情報をローカルファイルに保存するだけでは、それは単なる「ログ機能」であり、トロイの木馬とは呼べません。

トロイの木馬の本質は、**「ユーザーの信頼を悪用すること」**にあります。

ユーザーが「これは安全なオセロゲームだ」と信じて自ら実行（インストール）することを逆手に取り、その裏で、ユーザーに気づかれないように外部へ情報を送信したり、システム設定を変更したりします。

表向きの動作: 正常なオセロゲームとして遊べる。
裏の動作（悪意ある部分）: 入力された情報やPC内の別データを、外部のサーバーに送信する。

ユーザーが自ら実行してしまうため、検知が難しい点が非常に危険です。

「バックドア」の仕組みとは？

「バックドア（Backdoor）」とは、その名の通り「裏口」のことです。システムやアプリケーションにおいて、通常の認証手順（正規のIDやパスワード）を回避して、不正にアクセスするために設置された侵入経路を指します。

バックドアは「どこ」に仕掛けられるのか

バックドアは、入力フォームのテキストボックス自体にあるわけではありません。それは「ドア」ではなく、「ドアノブ」に近いです。

本当の仕掛けは、その入力内容をチェックする**プログラムのコード（条件分岐）**の中にあります。

C#でのイメージ（ログイン処理の例）

// ログインボタンが押された時の処理
private void buttonLogin_Click(object sender, EventArgs e)
{
    string inputUser = textBoxUser.Text;
    string inputPass = textBoxPass.Text;

    // 1. 正規の認証チェック
    if (inputUser == "admin" && inputPass == "correct_password")
    {
        MessageBox.Show("正規ユーザーとしてログイン成功");
    }
    // 2. バックドア（裏口）のチェック
    else if (inputPass == "LetMeIn123_SecretKey")
    {
        MessageBox.Show("バックドアから侵入しました");
        // ここで、通常は見えない管理者用フォームなどを表示する
        AdminForm hiddenForm = new AdminForm();
        hiddenForm.Show();
    }
    // 3. 失敗
    else
    {
        MessageBox.Show("ログイン失敗");
    }
}

この例では、正規のID・パスワードが間違っていても、パスワード欄に特定の「隠しパスワード（LetMeIn123_SecretKey）」を入力すると、正規の認証をスキップして管理者用フォーム（AdminForm）が表示される「裏口」が作られています。

【思考実験】バックドア経由での情報窃取シナリオ

では、このバックドアが悪用されると、どのような被害が想定されるでしょうか。

シナリオ：データベースと連携したオセロゲーム

開発: 攻撃者がオセロゲームを開発。ユーザーの戦績やプロフィール（メールアドレス等）をSQLデータベースに保存する仕様にする。
仕込み: アプリ内に、上記の例のような「隠しパスワード」によるバックドアを仕込む。このバックドア経由で起動する「管理者フォーム」には、SQLデータベースの全情報を閲覧・操作できる機能を搭載する。
侵入: 攻撃者はこのアプリを配布後、適当な場所（例：ネットカフェ）からこのオセロゲームを実行。隠しパスワードを使ってバックドアを起動し、データベースにアクセスする。

バックドア経由でデータベースは操作できるか？

回答：はい、可能です。

アプリケーションがデータベースに接続する権限（接続文字列など）を持っている場合、バックドアのコードからその権限を利用すれば、正規の機能と全く同様にSQL（SELECT文やUPDATE文など）を実行できます。

これにより、全ユーザーの個人情報を盗み見たり、データを改ざんしたりすることが可能になります。

侵入の痕跡（ログ）と犯人の特定は可能か？

ここからは、防御側の視点に立った「推理」です。もしバックドアから侵入されたとして、その痕跡は残るのでしょうか。そして、犯人を特定できるのでしょうか。

Q1. バックドアでアクセスしても履歴（ログ）は残る？

回答：はい、基本的に残ります。

攻撃者がどれだけ巧妙に振る舞っても、アクセスすれば何らかの痕跡は残ります。

データベース側のログ: どのIPアドレスから、いつ、どのユーザー権限で接続があったか。
SQLクエリログ: （設定が有効なら）どのようなSQL文（例: SELECT * FROM Users）が実行されたか。
OSやネットワークのログ: アプリケーションがいつ起動し、どこ（DBサーバーなど）と通信したか。

攻撃者はこれらのログを無効化したり、改ざん・削除しようと試みるかもしれませんが、現代の多層的な監視システム（SIEMなど）から全ての痕跡を消すことは極めて困難です。

Q2. ログから「誰が」侵入したか特定できる？

回答：技術的なログだけでは「個人」の特定は困難です。

ログから判明するのは、あくまで以下の情報です。

いつ（アクセス時刻）
どこから（アクセス元のIPアドレス）
何を（実行された操作内容）

IPアドレスから分かるのは「接続元の場所（プロバイダや施設名）」までであり、「そのPCを操作していた人物」までは分かりません。

Q3. ネットカフェから侵入されたら？

ネットカフェは、多くの場合、利用時に本人確認（身分証）を行っており、利用記録（利用時間、座席＝使用PC）が残っています。

もしIPアドレスから「〇〇ネットカフェ」と判明した場合、警察などの捜査機関が介入すれば、

店舗の利用記録から、該当時刻にそのPCを使っていた人物を特定。
店内の防犯カメラの映像で、その人物の姿を確認。

という流れで、使用されたPCと、それを操作した人物を特定できる可能性は高いです。

Q4. 空港などの「公共Wi-Fi」から侵入されたら？

これが最も追跡が困難になるケースです。

たとえ攻撃者が「自分のノートPC」を使っていたとしても、空港や駅などの公共Wi-Fi（フリーWi-Fi）を利用した場合、以下の理由で個人の特定が難しくなります。

IPアドレスが共有: サーバー側のログに残るIPアドレスは、その公共Wi-Fiルーターのものです。そのWi-Fiを利用している不特定多数のユーザー全員が、同じIPアドレスに見えます。
利用者情報が紐づかない: 公共Wi-Fiの多くは本人確認を必要とせず、メールアドレス登録のみ（あるいはそれすら不要）で利用できます。
物理的な証拠の欠如: 広大な空港のロビーで、監視カメラに映らない場所からアクセスされれば、物理的な追跡も不可能です。

この場合、「〇〇空港のIPからアクセスがあった」ことまでは分かっても、それが「誰の」「どのPCだったのか」を技術的なログだけで特定することはできません。