Torの出口ノード333件でSSH通信の転送を観測―研究者が攻撃の経緯を公開

研究者のkaba氏は2026年10月20日、匿名通信ネットワークTorの出口ノード333件が、SSH接続を12台の中継サーバーへ転送していたと報告しました。観測日は10月2日で、10月20日に新たに攻撃が始まったという発表ではありません。

出口ノードはTorから通常のインターネットへ出る接続点です。同氏は接続先のホスト鍵が変わったという警告をきっかけに調査しました。偽の鍵を受け入れてパスワードを入力すると、攻撃側が認証情報を読み取り、本来のサーバーへの接続を中継できる仕組みでした。

333件は転送を確認したノード数で、パスワードを盗まれた利用者数ではありません。スキャン時に偽の鍵を提示したのは約12件で、ほかも同じ中継先を経由していました。おとり環境では、盗んだ認証情報で別接続し、不正プログラムEburyの導入を試みる動作も観測しています。

Tor側は対象を出口として使わせない措置を取りました。各サーバーへの最初の侵入経路や攻撃者の全容は未解明です。研究者はSSHのパスワード認証から鍵認証への移行を勧めています。接続先の鍵変更を理由の確認なしに受け入れないことも、この攻撃との関係で重要です。