バックドアとは、正規のログインを迂回して、後からこっそり入れるようにした侵入経路のことです。仕組みと、見抜き方・防ぎ方を防御目線で解説します（設置や悪用の手順は扱いません）。
どこから入り、なぜ居座れるのか
バックドアは単独で現れるのではなく、たいてい「最初の侵入」とセットです。攻撃者は何らかの方法で一度侵入して足場を作り、次に後から再び入れる経路を残します。これがあると、元の穴をふさいでも侵入を続けられてしまうため、厄介です。
① 最初の侵入
脆弱性や盗んだ認証情報で足場を得る
② バックドアを設置
認証を迂回できる口を残す
③ 何度も再訪
脆弱性を直しても入れる
④ 持ち出し
指令サーバと通信しデータを抜く
バックドアは「侵入されたサーバーに後から置かれるもの」だけとは限りません。2024年に発覚した xz-utils のバックドア は、広く使われる圧縮ライブラリの配布物そのものに、長期間かけて維持者の信頼を得た人物が仕込んだという形でした（CVE-2024-3094）。つまりあなたのサーバーが破られなくても、取り込んだ部品の中にバックドアが含まれていることがあります。いずれの形でも共通するのは、「脆弱性を直した＝安全」ではないということ。居座りの足場が残っていないかまで見るのが肝心です。
具体例：配布物や更新に仕込まれたバックドア
当サイトで扱った事例と、広く知られた公開事例です。
| 事例 | 仕込まれた場所 | 分かったこと |
|---|---|---|
| XZ Utils（2024） | 圧縮ライブラリの配布物（CVE-2024-3094、CVSS 10.0） | 安定版として広く配られる前に、動作の遅さに気づいた技術者の調査で発見された |
| SolarWinds Orion（2020） | 監視ソフトの正規の更新プログラム | 同社の米証券取引委員会への届出では、該当する更新を導入した顧客は1万8,000未満。米国CISAは連邦機関に緊急指令を出し、該当製品の切断を求めた |
| MOVEit Transfer（2023） | 脆弱性を突かれたWebサーバ（Webシェル） | ゼロデイの脆弱性からWebシェルが置かれ、背後のデータベースからデータが一括で盗まれた |
3件とも、利用者側は「正規の製品を、正規の手順で使っていた」点が共通しています。自分のサーバに侵入されていなくても、取り込んだ部品や更新の中にバックドアが入りうるということです。
バックドアと似た言葉の違い
| 用語 | 何を指すか | バックドアとの関係 |
|---|---|---|
| バックドア | 認証を迂回して再侵入するための隠れた入口 | — |
| 脆弱性 | ソフトの欠陥。意図せずできた穴 | 最初の侵入に使われ、その後にバックドアが置かれることが多い |
| トロイの木馬 | 便利なソフトを装って入り込むマルウェア | 中身としてバックドアを持ち込むことがある |
| RAT（遠隔操作ツール） | 感染した端末を遠隔操作するマルウェア | 端末に置かれるバックドアの代表的な形 |
| Webシェル | Webサーバに置かれた不正な操作用スクリプト | Webサーバに置かれるバックドアの代表的な形 |
正規の保守口との違い
「遠隔で操作できる口」という意味では、正規のリモート保守もバックドアも似ています。違いは“統制があるか”です。
正規のリモート保守
管理者が把握し、認証・アクセス制御の下にあり、監査ログに残る。誰がいつ何をしたか追える。許可されて作られている。
バックドア
攻撃者が密かに仕込み、認証を迂回し、記録に残らないように作られる。把握も統制もされていない“見えない口”。
見抜く・防ぐための対策
単一の対策ではなく、侵入経路を減らす・居座らせない・変化に気づくの3つを組み合わせます。
侵入経路を減らす（最初の侵入を防ぐ）
未修正の脆弱性を残さない（依存とフレームワークの更新）、認証情報・鍵を厳重に扱い使い回さない、公開する面を最小化する。最初の侵入を許さなければバックドアも作られにくい。
居座らせない（最小権限と分離）
権限を絞り、サービスを分離して、侵入されたときに被害が及ぶ範囲を小さくする。1つ落ちても全体に広がらない設計にしておく。
変化に気づく（整合性・通信の監視）
見覚えのない実行ファイル/スクリプトの出現、不審なプロセスやcron、サーバから見知らぬ宛先への外向き通信を監視する。EDRなどで“おかしな変化”を拾える状態にする。
依存とサプライチェーンを点検する
取り込む依存パッケージを点検し、汚染された部品がバックドアを持ち込む経路を塞ぐ。ただし署名は「出所」の保証であって「安全」の保証ではありません。正規の公開経路から汚染版が配られた実例は npmのサプライチェーン汚染にどう備えるか に、機械的な点検手順は osv-scannerの導入と使い方 にまとめています。
自分のサーバで確認する方法（Linuxの例）
次の点検で「身に覚えのないもの」がないかを見ます。どれも読み取りだけの確認で、設定は変えません。
ログインの入口を見る
各ユーザーの ~/.ssh/authorized_keys に知らない公開鍵がないか、/etc/passwd に見覚えのないユーザーやUIDが0のユーザーが増えていないかを確認します。
自動で動くものを見る
crontab -l（ユーザーごと）と /etc/cron.*、systemctl list-unit-files --state=enabled で、登録した覚えのない定期実行やサービスがないかを確認します。
ファイルの変化を見る
公開ディレクトリで最近更新されたファイルを find /var/www -type f -mtime -7 のように探し、デプロイしていない時期に増えたスクリプトがないかを見ます。パッケージのファイルが改ざんされていないかは debsums -c（Debian系）や rpm -Va（RHEL系）で確認できます。
外向きの通信を見る
ss -tnp で、サーバから見知らぬ宛先へ接続しているプロセスがないかを確認します。定期的に同じ宛先へ出ていく通信は、C2 との通信のことがあります。
見つけた場合は消して終わりにせず、切り離し・記録の保全・再構築・認証情報の総入れ替えまで行います。
入られた前提で考える
バックドアの怖さは「気づきにくさ」です。だからこそ、侵入を完全に防ぐ前提だけに頼らないのが現実的です。「もし入られても、居座りの足場を残させない・早く気づける」状態を作っておくことが、被害の長期化を防ぎます。
当サイトの視点：脆弱性を直したら、居座りの手段が残っていないかまで確認する
インシデント対応でやりがちな見落としが、脆弱性を直して安心してしまうことです。当サイトの立場は、脆弱性を直したあと必ず「バックドアや不審な常駐プロセスが残っていないか」まで点検すること。攻撃者の狙いは一度きりの侵入ではなく居座り続けることなので、そこを断って初めて対応完了といえます。
出典（一次情報）
- NIST NVD「CVE-2024-3094」 — nvd.nist.gov（XZ Utils のバックドア、CVSS 10.0）
- SolarWinds Corporation「Form 8-K」（2020年12月14日） — sec.gov（影響を受けた顧客数）
- CISA「Emergency Directive 21-01」 — cisa.gov
- CISA ほか「MOVEit Transfer の脆弱性 CVE-2023-34362 に関する共同勧告」（AA23-158A） — cisa.gov（Webシェルの設置）
- MITRE ATT&CK「Server Software Component: Web Shell（T1505.003）」 — attack.mitre.org（検知の観点）
次に読む
- 用語：リモートコード実行（RCE）とは / C2（指令サーバ）とは
- 用語：パストラバーサルとは（侵入経路の一例）
- 事例から学ぶ：xz-utils バックドア事件（配布物そのものに仕込まれた例）
- 事例から学ぶ：npmのサプライチェーン汚染にどう備えるか
- 事例から学ぶ：AIで書いたコードからAPIキーが漏れた——本当の原因
よくある質問
Qバックドアと正規のリモート保守は何が違うのですか？
技術的には似ていても、決定的な違いは『誰が、記録に残る形で、許可して作ったか』です。正規の保守口は、管理者が把握し、認証・アクセス制御・監査ログの下に置かれています。バックドアは、攻撃者が密かに仕込み、認証を迂回し、記録に残らないように作られます。同じ“遠隔で操作できる口”でも、可視性と統制があるかどうかが分かれ目です。
Qバックドアはどうやって仕込まれるのですか？
多くは『最初の侵入』の後に、居座るための足場として設置されます。きっかけは、未修正の脆弱性の悪用（リモートコード実行など）、盗まれた認証情報やSSH鍵の悪用、汚染された依存パッケージの取り込みなど。当サイトでは具体的な設置・悪用手順は扱いません。大切なのは『最初の侵入を防ぎ、入られても居座らせない』という多層の守りです。
Qバックドアが仕込まれていないか確認するには？
これ1つで確実に分かる方法はありませんが、有効なのは複数の角度からの監視です。ファイルの整合性監視（見覚えのない実行ファイルやスクリプトの出現）、外向き通信の監視（サーバが見知らぬ宛先へ定期的に通信していないか）、不審なプロセスやcronの確認、依存パッケージの点検など。1つに頼らず、これらを組み合わせて『おかしな変化』を拾える状態にしておくことが重要です。
Qバックドアの意味は？なぜ『裏口』と呼ぶのですか？
英語の backdoor（裏口）から来た言葉で、正面玄関にあたる通常のログイン（認証）を通らずに入れる出入り口を指します。攻撃者が侵入後に仕込むものが代表的ですが、開発者が保守用に残した隠しアカウントや、製品に埋め込まれた固定のパスワードも、利用者が知らず統制できなければバックドアと呼ばれます。暗号の分野では、政府などが復号できるよう意図的に設ける仕組みを指して使われることもあります。
QWebシェルとは何ですか？バックドアと同じですか？
Webシェルは、Webサーバに置かれた不正なスクリプトで、ブラウザなどからサーバを遠隔操作できるようにするものです。Webサーバに仕込まれたバックドアの代表的な形と考えてよいです。2023年のMOVEit Transferの大量侵害では、脆弱性を悪用してWebシェルが置かれ、背後のデータベースからデータが盗まれました。
Qバックドアを見つけたら、消せば終わりですか？
消すだけでは不十分です。見つかったものが1つとは限らず、侵入に使われた認証情報も盗まれている可能性があるからです。まずサーバをネットワークから切り離し、調査のために記録を保全したうえで、信頼できる状態から再構築し、パスワード・SSH鍵・APIキーなどの認証情報をすべて入れ替えます。最初の侵入口になった脆弱性の修正も合わせて行います。