ダークウェブ（dark web）とは警察庁の定義は「一般的な検索エンジンでは見つけることができず、特殊なソフトウェアを用いてのみアクセスできるインターネット深層の匿名サイト群」。総務省・国家サイバー統括室の説明の違い、盗まれた情報の売買についての公的機関の記述、漏れたか確かめる方法と、漏れていた時の手順【2026年10月版】

2026年10月13日・日本時間時点の情報です。 ダークウェブ（dark web）とは、警察庁の定義では「一般的な検索エンジンでは見つけることができず、特殊なソフトウェアを用いてのみアクセスできるインターネット深層の匿名サイト群」です。公的機関の資料には、盗まれた情報や攻撃の道具が取引される場として出てきますが、自分の情報を確かめる手順として書かれているのは、ダークウェブを見に行くことではなく、自分のパスワードやカードの利用履歴を調べることです（本記事が取得した資料の範囲）。

3行まとめ

1. 警察庁は、ダークウェブを「一般的な検索エンジンでは見つけることができず、特殊なソフトウェアを用いてのみアクセスできるインターネット深層の匿名サイト群」と定義する（令和8年上半期の情勢資料・2026年9月）。総務省と国家サイバー統括室（NCO）は言い回しが違う。
2. IPAの個人向け資料は、窃取された個人情報やカード情報が「複数の犯罪者間で共有・売買される」と書く。警察庁は、事業者の個人情報等がダークウェブ上のリークサイトに掲載される事例が「多数確認されている」と書く。
3. Googleのヘルプによると、同社の「ダークウェブ レポート」は2026年2月16日に利用できなくなった。今は、Google・Apple・Microsoftのパスワード確認機能やカードの利用履歴で確かめ、漏れていたらパスワードの変更・多要素認証・カード会社への連絡などで対応する（IPA・NCO・総務省の案内）。

この記事は、ダークウェブへのアクセスの方法、使うソフトウェアの名前、どこを見ればよいかは書きません。 筆者もダークウェブには一切アクセスしていません。ランサムウェアそのものはランサムウェアの記事、偽メールの見分け方はフィッシング詐欺の記事に任せます。

ダークウェブとは何か。警察庁・総務省・国家サイバー統括室は、少しずつ違う言い方で説明している

警察庁が2026年9月に公表した「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」は、ランサムウェアの節の脚注で、ダークウェブを次のように定義しています（PDFの18ページ目）。

「「ダークウェブ」とは、一般的な検索エンジンでは見つけることができず、特殊なソフトウェアを用いてのみアクセスできるインターネット深層の匿名サイト群をいう。」

総務省の「国民のためのサイバーセキュリティサイト」の用語集と、国家サイバー統括室（NCO）の「インターネットの安全・安心ハンドブック」Ver 5.10（令和7年3月11日）の用語集（184ページ）にも項目があります。3つを並べます。

個人情報保護委員会のQ&A（令和7年7月1日版）も、ダークウェブを括弧で「専用のウェブブラウザ等を利用しないとアクセスできないウェブ」と説明しています。同じ言葉の説明は機関ごとに違い、どれか一つが唯一の正式な定義という形ではありません。

サーフェスウェブ・ディープウェブとの違い。ログインして開く画面は、IPAの海外報告とHC3の分け方ではディープウェブ側に入る

警察庁の定義には「インターネット深層」という言い方がありますが、「ディープウェブ」「サーフェスウェブ」という層の名前は、警察庁・総務省・NCOの資料には出てきません（探した資料は末尾の節に書きます）。日本の公的機関の資料で3つの層を分けていたのは、本記事が探した範囲では、IPAのサイトに載っている海外の動向の報告「ニューヨークだより 2020年1月 ダークウェブに関する現状」（JETRO/IPA New York）でした。

「インターネット上のウェブページは、①Google、Bing、Yahoo を含む標準ウェブ検索エンジンで検索・アクセス可能なページ（サーフェス（又はパブリック）ウェブ）と、②それができないページ（ディープウェブ）に大別され、ダークウェブのページは②の一部に分類されるが、アクセスには専用のツール（ウェブブラウザ）が必要であり、ユーザーの高い匿名性が保証されている点で、ディープウェブとは区別される」

この報告は、ディープウェブの例に「Facebook 等の SNS サイトや Dropbox 等のファイル共有サービスサイト、購読形式の有料ニュースサイト、個人の医療データ、企業の組織内ネットワークのページ」を挙げ、アクセス条件を「アクセスに認証が必要」と書いています。報告は、この区分の出典に民間の解説記事を挙げています。

英語の公的資料では、米国のHHS（保健福祉省）のHC3（スライドの表記は Healthcare Sector Cybersecurity Coordination Center）が2020年7月23日付けで作り、cisa.govで公開しているスライド「The Dark Web and Cybercrime」が、同じ3つの層を説明しています。どちらも2020年の資料なので、言葉の分け方にだけ使います。

“Surface web: indexed by Google, does not require special software or credentials to access”

（訳）サーフェスウェブ：Googleに索引され、アクセスに特別なソフトウェアも認証情報も要らない。

“Deep web: not indexed by Google, requires special software or credentials to access”

（訳）ディープウェブ：Googleに索引されず、アクセスに特別なソフトウェアまたは認証情報が要る。

認証情報は、IDとパスワードのような、本人だと示すための情報です。スライドは例として、サーフェスウェブにHHSの公式サイト、ディープウェブに「HHS’s internal SharePoint, a bank account portal」（HHSの内部のSharePoint、銀行口座の画面）を挙げ、ダークウェブは「Technically, overlay networks that use the Internet and require specific software or credentials to access.」（技術的には、インターネットを使いつつ、アクセスに特定のソフトウェアまたは認証情報を要する、重ね合わせのネットワーク）と書いています。

読者にとって大事なのは、ログインしてから見る自分の銀行口座やSNSの画面は、IPAの海外報告とHC3の分け方ではダークウェブではなくディープウェブ側の例だという点です。ログインが要る＝ダークウェブ、ではありません。同じスライドは「Many people use the dark web for totally legitimate reasons – political dissidence, private communication, etc」（多くの人が、政治的な異議申し立てや私的な通信など、まったく正当な理由でダークウェブを使っている）とも書き、直後に、犯罪者のコミュニティが栄えているために使う人も多い、と続けています。

公的機関は、ダークウェブで何が行われていると書いているか

資料ごとに範囲が違うので、分けて読みます。

• 警察庁（2026年9月）。 ランサムウェアの二重恐喝（データを暗号化したうえ、盗んだデータの公開をちらつかせて金銭を要求する手口）について、「実際に事業者の財務情報や個人情報等が、ダークウェブ上のリークサイトに掲載される事例が多数確認されている」（脚注の番号は省略）と書いています。件数や手口はランサムウェアの記事にあります。
• IPA「10大脅威 2026」解説書（組織編）。 「匿名性が非常に高いネットワークであるダークウェブ等のマーケットでは」、「ランサムウェアの売買や攻撃代行、各種認証情報やアクセス情報等の提供が行われており」と書き、2025年11月に東海ソフト開発で起きたランサムウェア被害の事例を、「その一部と思われる情報がダークウェブ上で公開されていると公表した」と書いています。
• IPA「10大脅威 2026」個人編ハンドブック。 個人向けの脅威「インターネット上のサービスからの個人情報の窃取」（7年連続10回目）の被害として、「窃取された個人情報が複数の犯罪者間で共有・売買される」「窃取された自分のメールアドレスにフィッシング等の詐欺メールが送付される」「窃取されたクレジットカード情報などが悪用され金銭被害が発生する」を挙げます（P.3。カード情報の項のP.11にも「共有・売買される」とあります）。この資料は売買の場所を「ダークウェブ」とは書いていません（資料内の検索で0件）。
• 国家サイバー統括室のハンドブック（127ページ）。 ウェブサービスなどから流出したメールアドレスは、攻撃メールの送り先に使われるだけでなく、「インターネットの闇サイト」で「名簿として売買されることもあります」と書いています。
• 総務省の用語集。 「一般的に売買することがはばかられる商品や、専門的な知識をもたなくともサイバー攻撃を可能にするためのツールキット」が取り引きされていて、「サイバー犯罪の温床にもなっていると言われています」と書いています。
• HC3のスライド（2020年）。 「Stolen data tends to filter down through communities, eventually landing in open forums or large marketplaces」（盗まれたデータは、コミュニティの間を下っていき、最終的に公開のフォーラムや大きなマーケットにたどり着く傾向がある）と書いています。
• 個人情報保護委員会のQ&A（Q4-5・令和5年3月追加）。 事業者向けの答えで、「ダークウェブ上で掲載・取引されている個人情報は、掲載した者が偽りその他不正の手段により取得した個人情報である蓋然性が高く」と書き、事業者がそれをダウンロード等で取得することは個人情報保護法第20条第1項に違反するおそれがあると答えています。個人がダークウェブを見ることの可否は書かれていません。

自分の情報が漏れたかどうかは、どう確かめられるか

Googleの「ダークウェブ レポート」は2026年2月16日に終わった

Googleのヘルプには、「ダークウェブ レポート（自分の個人情報がダークウェブに漏洩していないかスキャンできるツール）の廃止についてお知らせいたします。」という告知が出ています。日程は2つで、「2026 年 1 月 15 日: ダークウェブへの新たな情報漏洩のスキャンが終了します。」「2026 年 2 月 16 日: ダークウェブ レポートをご利用いただけなくなります。」です。理由は「このレポートには一般的な情報がまとめられていましたが、効果的な対処法を提示できていないというフィードバックが届いていました。」と書かれ、代わりのツールとして、セキュリティ診断、パスキー、Googleパスワード マネージャー、パスワード チェックアップなどが挙がっています。

パスワードが既知の漏えいに含まれていないかを調べる、各社の機能

どれも、保存したパスワードを既知の漏えいと照らす機能です（各社の公式ヘルプ）。

Googleのヘルプは「不正使用されたパスワードとユーザー名の組み合わせは、オンラインで公開されているため安全ではありません。」と書き、早急な変更をすすめています。

Appleが照合に使うと書くのは、「さまざまなオンライン組織からの漏えいで公開されたことが分かっているパスワード」のリストです。リストに載っていない漏えいは、この機能では見つかりません。何も表示されなくても漏れていないと言い切れない、というのは筆者の読みです。IPAの個人向け資料は、別の確かめ方として、ログインアラート機能の利用、ログイン履歴の確認、クレジットカードやポイント等の利用履歴の定期的な確認を挙げ、「被害に遭っていないかを確認することが大事」と書いています（P.4・P.6）。

漏えい確認の民間サイトと、「漏れた」という通知メール

NCOのハンドブック（109ページ）は、流出したIDとパスワードを調べられる民間のサイトの名前を挙げ、「あくまでも民間のサービスなので、その点を理解して必要に応じて利用することも一案です」と書き、同じ箇所に「信頼できるサイトでない場合には、かえってパスワードの流出を招く恐れもあります」とも書いています。挙げられたサービスの2026年10月現在の提供状況は、本記事では確かめていません（ハンドブックは2025年3月の版）。筆者はこれらのサイトを試しておらず、本記事では勧めていません。

サービス側からパスワードの再設定を案内する通知が来た場合について、同じハンドブックの103ページは、「サービス側を装ったパスワードリセットの通知は、流出事故に便乗したフィッシング詐欺などのよくある攻撃パターンです。」と書き、「通知のメールにパスワードリセットのリンクなどが貼られていても、うかつにクリックしたりせず、リセットする場合も直接公式サイトやアプリから」するよう案内しています。見分け方はフィッシング詐欺の記事にあります。

漏れていた時にすること。公的機関の案内を、筆者が順に並べた

1. 通知が本物かを先に確かめる。 メールのリンクからではなく、公式サイトやアプリから開きます（上のNCOのハンドブック103ページ）。
2. 該当のサービスのパスワードを変える。 ハンドブック103ページは、サービス側からパスワード流出が起きた場合は「速やかにパスワードを変更の上、流出の原因となった点の対策が行われたかを確認」するよう書き、109ページは「特にパスワードを使いまわしている場合には、すぐにでも対応する必要があります。」と書きます。iPhoneの手順は、Appleのヘルプによると、「パスワード」アプリ＞「セキュリティ」＞アカウントをタップ＞「パスワードを変更」です。
3. 使い回しをやめ、長く複雑にする。 IPAは「できるだけ長く」「複雑で」「使い回さない」ものを推奨しています（不正ログイン対策特集ページ）。個人編は、使い回していると「それら全てのサービスに不正ログインされるおそれがある」と書いています（P.7）。
4. 多要素認証を設定する。 IPA個人編は、個人情報の窃取への対策として「多要素認証を利用する」「パスキーが利用可能な場合は、極力利用する」を挙げています（P.4）。設定の入口は二段階認証の記事とパスキーの記事にあります。
5. ログイン履歴と、カード・ポイントの利用履歴を見る。 見るものは、IPAが挙げる上の3つ（ログインアラート・ログイン履歴・利用履歴）です。
6. カード情報が関わる時は、カード会社へ連絡する。 総務省の事例6は、身に覚えのない買い物があるときは請求書や明細書をよく確認し、「カード会社に連絡して、不正利用の疑いがあることを報告します。」と書き、「不正利用であれば、カード会社はカードを停止したり、新しいカードを発行したりします。」と続けます。そのうえで「さらに、警察に届け出をします。」とあります。予防として、IPA個人編（P.12）は、3Dセキュア（カード会社の本人認証）の利用、利用限度額を抑えること、使っていないカードの契約解除を挙げています。
7. メールアドレスだけが漏れた時。 Microsoftのヘルプは、そのアドレスをユーザー名にしているアカウントを確かめ、強力で一意のパスワードと多要素認証を確認するよう案内しています。

困った時の相談先

筆者が確かめたこと：開いた公式ページの時刻、画面、パスワード照合の算術（2026年10月13日）

• 7時48分から8時1分。 各機関と各社のページ・資料を、ログインせずに取得しました。警察庁のPDF（187ページ）で「ダークウェブ」の語は、18ページ目（本文1か所と脚注）だけに出ていました。
• 7時58分。 Googleの「ダークウェブ レポートの更新について」を、ブラウザを画面に出さない設定で開き、1280×800と390×844で撮影しました。ログインしていない状態で、「2026 年 1 月 15 日」と「2026 年 2 月 16 日」の2行が表示されました。7時51分に取得したGoogleの古いヘルプのURL3つは、どれも同じ告知のページへ転送されました。7時59分には、総務省・IPA・Appleのページも撮影しました。
• 7時54分。 NISTのCSRCのサイト内検索で「"dark web"」を用語集を含む全項目で検索すると、「No results were found」（該当なし）と表示されました。
• 8時0分。 Appleの「パスワードの監視」のページは、文書の執筆時点で約15億のパスワードを含んでいたリストを、SHA-256ハッシュ値（元の文字列から計算する、元に戻せない短い値）の最初の15ビットで2の15乗個の組分け（バケット）に分けると書き、「ユーザのパスワードについては、この情報は暗号学的ハッシュの15ビットプレフィックスに限定されます」と書いています。この算術を筆者が openssl dgst -sha256 で確かめました。作り話の見本の文字列3つ（実在のパスワードではありません）の最初の15ビットは、バケット番号で15986、19373、32213でした。2の15乗は32,768個で、均等に分かれたと仮定すると1つのバケットに約45,776件です。バケット番号と1つあたりの件数は筆者の計算で、Appleの文書には載っておらず、Appleの実装の再現でもありません。

ダークウェブそのものと、漏えいの有無は、この記事で確かめていない

• ダークウェブへのアクセスと、中身の確認。 筆者は行っていません。
• ログイン後の画面。 Google・Apple・Microsoftの確認機能は、ログインが要る画面を開いていません。
• 「ディープウェブ」「サーフェスウェブ」の日本の公的な説明。 見つかったのは、IPAのサイトにある2020年1月の海外報告（JETRO/IPA New York）だけでした。取得した警察庁のPDF、総務省の用語集（日本語の10ページ）、IPAの10大脅威の解説書・個人編・不正ログイン対策のページ、NCOのハンドブック（イントロダクション・第1〜6章・付録・おわりに・用語集）、警察庁の相談窓口のページには、この語も「深層ウェブ」「表層ウェブ」もありませんでした。警察白書や情報通信白書などは探していません。
• 民間の漏えい確認・監視サービス。 有料のものを含め、取得した公的資料に比較がないので扱っていません。
• 法的な判断。 個人がダークウェブを見ることが違法かどうかは扱っていません。

ダークウェブの説明に使った公式資料と、取得した時刻

資料とページは、すべて2026年10月13日の7時48分から8時16分に取得しました。ページ名とURLは記事末尾の出典欄に並べています。文面、各社の機能の場所、窓口の受付時間は変わることがあるので、使う前に公式の最新の案内を見てください。