「正規のログインを迂回して、後からこっそり入れるようにした裏口」——それがバックドアです。仕組みと、見抜き方・防ぎ方を防御目線で解説します（設置や悪用の手順は扱いません）。
どこから入り、なぜ居座れるのか
バックドアは単独で現れるのではなく、たいてい「最初の侵入」とセットです。攻撃者は何らかの入口で一度足場を作り、次に再訪できる裏口を残します。これがあると、元の穴をふさいでも侵入を続けられてしまうため、厄介です。
① 最初の侵入
脆弱性や盗んだ認証情報で足場を得る
② 裏口を設置
認証を迂回できる口を残す
③ 何度も再訪
穴をふさいでも入れる
④ 持ち出し
指令サーバと通信しデータを抜く
裏口は「侵入されたサーバーに後から置かれるもの」だけとは限りません。2024年に発覚した xz-utils のバックドア は、広く使われる圧縮ライブラリの配布物そのものに、長期間かけて維持者の信頼を得た人物が仕込んだという形でした（CVE-2024-3094）——つまりあなたのサーバーが破られなくても、取り込んだ部品の側から裏口が入ってくることがあります。いずれの形でも共通するのは、「穴をふさいだ＝安全」ではないということ。居座りの足場が残っていないかまで見るのが肝心です。
正規の保守口との違い
「遠隔で操作できる口」という意味では、正規のリモート保守もバックドアも似ています。違いは“統制があるか”です。
正規のリモート保守
管理者が把握し、認証・アクセス制御の下にあり、監査ログに残る。誰がいつ何をしたか追える。許可されて作られている。
バックドア
攻撃者が密かに仕込み、認証を迂回し、記録に残らないように作られる。把握も統制もされていない“見えない口”。
見抜く・防ぐための対策
単一の対策ではなく、入口を減らす×居座らせない×変化に気づくを重ねます。
入口を減らす（最初の侵入を防ぐ）
未修正の脆弱性を残さない（依存とフレームワークの更新）、認証情報・鍵を厳重に扱い使い回さない、公開する面を最小化する。最初の侵入を許さなければ裏口も作られにくい。
居座らせない（最小権限と分離）
権限を絞り、サービスを分離して“爆発半径”を小さくする。1つ落ちても全体に広がらない設計にしておく。
変化に気づく（整合性・通信の監視）
見覚えのない実行ファイル/スクリプトの出現、不審なプロセスやcron、サーバから見知らぬ宛先への外向き通信を監視する。EDRなどで“おかしな変化”を拾える状態にする。
依存とサプライチェーンを点検する
取り込む依存パッケージを点検し、汚染された部品が裏口を持ち込む経路を塞ぐ。ただし署名は「出所」の保証であって「安全」の保証ではありません——正規の公開経路から汚染版が配られた実例は npmのサプライチェーン汚染にどう備えるか に、機械的な点検手順は osv-scannerの導入と使い方 にまとめています。
入られた前提で考える
バックドアの怖さは「気づきにくさ」です。だからこそ、侵入を完全に防ぐ前提だけに頼らないのが現実的です。「もし入られても、居座りの足場を残させない・早く気づける」状態を作っておくことが、被害の長期化を防ぎます。
当サイトの視点：穴をふさいだら“居座り”まで確認する
インシデント対応でやりがちな見落としが、脆弱性を直して安心してしまうことです。当サイトの立場は、入口をふさいだあと必ず「裏口や不審な常駐が残っていないか」まで点検すること。攻撃者の狙いは一度きりの侵入ではなく“居座り”なので、そこを断って初めて対応完了といえます。
次に読む
- 用語：リモートコード実行（RCE）とは / C2（指令サーバ）とは
- 用語：パストラバーサルとは（侵入の入口の一例）
- 事例から学ぶ：xz-utils バックドア事件（配布物そのものに仕込まれた例）
- 事例から学ぶ：npmのサプライチェーン汚染にどう備えるか
- 事例から学ぶ：AIで書いたコードからAPIキーが漏れた——本当の原因
よくある質問
Qバックドアと正規のリモート保守は何が違うのですか？
技術的には似ていても、決定的な違いは『誰が、記録に残る形で、許可して作ったか』です。正規の保守口は、管理者が把握し、認証・アクセス制御・監査ログの下に置かれています。バックドアは、攻撃者が密かに仕込み、認証を迂回し、記録に残らないように作られます。同じ“遠隔で操作できる口”でも、可視性と統制があるかどうかが分かれ目です。
Qバックドアはどうやって仕込まれるのですか？
多くは『最初の侵入』の後に、居座るための足場として設置されます。きっかけは、未修正の脆弱性の悪用（リモートコード実行など）、盗まれた認証情報やSSH鍵の悪用、汚染された依存パッケージの取り込みなど。当サイトでは具体的な設置・悪用手順は扱いません。大切なのは『最初の侵入を防ぎ、入られても居座らせない』という多層の守りです。
Qバックドアが仕込まれていないか確認するには？
単一の魔法はありませんが、有効なのは複数の角度からの監視です。ファイルの整合性監視（見覚えのない実行ファイルやスクリプトの出現）、外向き通信の監視（サーバが見知らぬ宛先へ定期的に通信していないか）、不審なプロセスやcronの確認、依存パッケージの点検など。1つに頼らず、これらを組み合わせて『おかしな変化』を拾える状態にしておくことが重要です。