Spam IP Detection Trend Dashboard

グラフの波形から読み取れる、今まさに起きている概況

上記 2つのグラフ解析情報は、フィッシング詐欺メール等の遮断記録です

合計　y = ∑_{i=1}^{24} x_i 　1日の合計値
プロット上の件数　y_(x+1) = ∑_{t=x}^{x+1} D_t　1時間前から現在までの合計値

3つ目のグラフは、ウェブサービスへの攻撃記録です

10/21 PHPの脆弱性を狙う攻撃にも対応中
CrowdSec Defenseが急上昇しています。Fail2Banによっても防御されています。
表面には現れていませんが、凡例の CrowdSec CAPI Blocklist （Total数）が実際に防御されている値です
グラフ上のCrowdSecの値は、ローカル側の値です。CrowdSec CAPIから漏れた攻撃はPF Engineで捉えられます
10/21 PHPの脆弱性を狙う防御用に、PHP/php2shell 独自センサー導入しましたが、CrowdSec CAPI Blocklistに先をこされて
PHP/php2shell 0件ですが、正常です。
10/22 PHP Security upgrade
rpm -q --changelog php | grep -E "CVE-2026-109618|CVE-2026-109619"
CVE-2026-109618 (GHSA-w8hw-w9fx-j79w)
CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp)
10/23 The PHP Groupは、2026年10月23日に特定の設定とアプリケーションコードの組み合わせの下で発生する脆弱性（CVE-2026-115560）を公表しました。本脆弱性が悪用された場合、任意のコードを実行される可能性があります。ただし、開発者は、影響を受ける構成が一般的ではないことから、通常のリリースサイクルで修正する方針を示しており、修正済みバージョンが提供されるまで待つしかありません

10/29 2026年10月29日までに、PHP脆弱性を悪用した攻撃活動の調査で、「あるファイアウォール製品の特定バージョン」に対する侵害の成功を示唆する痕跡を確認したと報告されています。報告によると、攻撃者が対象製品を解析してバージョン別にPHP脆弱性とLinuxカーネルの権限昇格の脆弱性を組み合わせたエクスプロイトコードを開発していたとのことです。また、侵害した機器 (Server/Firewall/WAF) を足掛かりとして、内部ネットワークへの横展開が試みられたことを示唆する痕跡も確認されたとしています。報告によると、攻撃者が対象製品を解析してバージョン別に本脆弱性とLinuxカーネル の権限昇格の脆弱性を組み合わせたエクスプロイトコードを開発していたと のことです。また、侵害した機器(Server/Firewall/WAF)を足掛かりとして、内部ネットワークへの横展開が試みられたことを示唆する痕跡も確認されたとしています。
Dream
詳しくは　Chained PHP2Shell Exploit Roots 25 Servers, including US Government Servers

上記　図：攻撃者の行動：　10月8日の環境構築から、脆弱性悪用、内部ネットワークへの 横展開そして10月24日の侵入後の活動に至る、一連の攻撃活動におけるタイムライン。（さすが米国、良く解析しました）脆弱性を悪用するコードが完成し、悪用可能な9つ のバージョンに応じたプロファイルが揃ったことで、攻撃者は明確な絞り込みプロセス に沿ったターゲット攻撃活動を開始しました。

日本においては、緊急のPHPのマイナーアップデートやセキュリティパッチによる「まさかの仕様変更」に、多くのサーバー管理者が泣かされています。 「セキュリティを高めるため」「脆弱性を塞ぐため」という大義名分があるだけに無視するわけにもいかず、いざ適用してみると、OS側のサービス権限（systemd）と衝突してサイトが動かなくなるといった地雷が埋まっているのが本当に厄介なところです。 特に、少し古いOSバージョンの場合、通常のファイル権限（chmod/chown）をいくら正しく設定しても解決しない「二重の罠（OSとPHP-FPMのサンドボックス仕様の噛み合わせ）」も発生しているようです。あるいは、バージョンアップしたことで、Warning / Syntax error も起きるケースもありますから、慎重な対応が必要です。

1. AIエージェントによる大量の使い捨て海外ボット（Azure等）の波状攻撃

第1波 10/15 11時（第１波ピーク）： 中国AIモデルによる挑発攻撃後、徐々に収束。

第2波・第3波 10/18 11時（第2波ピーク）： 中国AIモデルによる挑発攻撃。夜間は平和を取り戻したかに見えましたが、彼ら（AIエージェント）は決して諦めていませんでした。深夜の静寂を狙って、午前3時過ぎから、大量の使い捨て海外ボット（Azure等）を再び一斉投入し、一斉射撃（第３波）を仕掛けてきています。
第4波 10/23 6時（第4波ピーク）：ブロックされたら瞬時に新しいサーバーを生成、新しいIPと使い捨てホスト名によって第４波が押し寄せています

個人漏洩したメールアドレスは、リスト化されて、AIエージェントにより、一斉に、あるいはゆっくりと詐欺メールを送り付けています。一斉射撃でもアプリケーション層に届く前に、ネットワーク層でブロック（遮断）されます。このグラフが物語っています。

2. 2時間移動平均線（オレンジ）の危険な跳ね上がり

水色の生カウントの垂直な突き抜けに引っ張られるように、オレンジ色の2時間移動平均線が急角度で上を向き、10/18 11時（第2波ピーク）では、数千件を超えて大暴騰し始めています。これは一時的な単発のノイズではなく、現在進行形で中国AIエージェントによる攻撃が押し寄せ続けている決定的な証拠（警報）です。

3. AI vs AI (自律型インフラ防御戦)

近年、海外（特に中国をはじめとする国家規模のインフラを背景にした攻撃グループ）では、メールアドレスの有効性を自動調査するAIモデル（LLM）が実戦投入されています。彼らは以下のような高度なメタ思考で動いています。こちらも、AIモデル（LLM）で対戦となります。

• 「エラーログ（SMTP違反など）を吐くと、PFセンサーに引っかかってIPがDropされる」と相手のAIが学習します。
• 「ならば、SMTPプロトコルの手順を1ミリの狂いもなく100%完璧になぞり、エラーを一切吐かずに正常に配送（status=sent）させて、センサーの目を盗んでアドレス調査を完了させよう」と自律的に作戦を変更しました。

敵が自律型AIモデルであれば、今後もこちらが仕掛けた「構造の盾」を回避しようと、.com 以外の新しい格安ドメイン（.top や .xyz などの第2波）へ、インフラごと切り替えて、さらに揺さぶり（挑発）をかけてくる可能性がありますが、こちらもAIで受けて立ちます。いずれにせよ、TOKEN の事細かな指示が勝敗を決めることになります。

4. AIを用いた詐欺メールの生成

Python Program が理解できるなら、要件を指示すれば、10秒以内で作成されます。これと共に、リスト化されたSQLite や、MySQL 、Postfix がデプロイされたサーバに設置し、あとは、AIエージェントが定期的に実行してくれます。ただし、日本国内のサーバでは契約不可能ですから海外の使い捨てサーバが利用されている訳です。ドメイン名は適当でも良い訳ですがドメイン認証突破するにはそうも行きませんので、格安使い捨てドメイン名を取得して、どこかのクラウドと契約すれば、それでOK。これが現実です。中国AIエージェントによる攻撃（詐欺メール）は、中国国内からよりも、海外の使い捨てサーバが利用されています。

5. AIを用いたサイバーテロの組織構造

AIエージェントによる攻撃（詐欺メール）とは異なるAIモデルが用いられ、組織化された、複数のエージェントで成立しています。

1. 隙があるかどうか、大量のスキャン攻撃（人間は脆弱性と表現します）
2. 隙が見つかったら、攻撃班に受け渡し
3. 攻撃班による、防衛突破
4. ターゲットに細工を仕掛ける（別班）（データを暗号化・これが身代金要求型）
5. ターゲットから要件定義された情報をGETする（別班）（これが情報漏洩）

6. 実際の生ログ公開（yin.or.jp には存在しないメールアドレス宛）

一分間の閾値をもってAIが検知しますから、その間はログに記録されています。その間もフィルターで検知され、REJECT（遮断ではなく拒否）されます。

[実況見分 A] 使い捨てドメイン「sort.jllhf.com」「hosts.jllhf.com」からのIP可変攻撃（AI探知で瞬殺Drop）

Oct 20 08:42:54 mx postfix/smtpd[33818]: connect from sort.jllhf.com[20.230.167.56]
Oct 20 08:42:55 mx postfix/smtpd[33818]: NOQUEUE: reject: RCPT from sort.jllhf.com[20.230.167.56]: 550 5.1.1 <qazno@yin.or.jp>: Recipient address rejected: User unknown in local recipient table; from=<form-eTax@sort.jllhf.com> to=<qazno@yin.or.jp> proto=ESMTP helo=<sort.jllhf.com>
Oct 20 08:42:55 mx postfix/smtpd[33818]: disconnect from sort.jllhf.com[20.230.167.56]
Oct 20 08:43:06 mx postfix/smtpd[33818]: connect from hosts.jllhf.com[20.69.158.146]
Oct 20 08:43:06 mx postfix/smtpd[33818]: NOQUEUE: reject: RCPT from hosts.jllhf.com[20.69.158.146]: 550 5.1.1 <esodan@yin.or.jp>: Recipient address rejected: User unknown in local recipient table; from=<form-eTax@hosts.jllhf.com> to=<esodan@yin.or.jp> proto=ESMTP helo=<hosts.jllhf.com>
Oct 20 08:43:06 mx postfix/smtpd[33818]: disconnect from hosts.jllhf.com[20.69.158.146]

[実況見分 B] 使い捨てドメイン「legitimate.musiyu.com」からのAzure経由攻撃（AI探知で瞬殺Drop）

Oct 20 08:43:10 mx postfix/smtpd[33878]: connect from legitimate.musiyu.com[20.210.142.232]
Oct 20 08:43:10 mx postfix/smtpd[33878]: NOQUEUE: reject: RCPT from legitimate.musiyu.com[20.210.142.232]: 550 5.1.1 <maemae@yin.or.jp>: Recipient address rejected: User unknown in local recipient table; from=<legitimate-maemae=yin.or.jp@legitimate.musiyu.com> to=<maemae@yin.or.jp> proto=ESMTP helo=<legitimate.musiyu.com>
Oct 20 08:43:10 mx postfix/smtpd[33878]: disconnect from legitimate.musiyu.com[20.210.142.232]

[実況見分 C] 中国本土（China Telecom / CHINANET）からの偵察アクセス・接続切断記録その後 （AI探知で瞬殺Drop）

Oct 20 08:44:11 mx postfix/smtpd[33960]: connect from unknown[60.183.22.248]
Oct 20 08:44:12 mx postfix/smtpd[33960]: lost connection after CONNECT from unknown[60.183.22.248]
Oct 20 08:44:12 mx postfix/smtpd[33960]: disconnect from unknown[60.183.22.248]

最後に：ハイパースケール・クラウドの仕組みと中国AIエージェントの企み

AWSやMicrosoft Azureといったメガクラウドは、世界中の巨大データセンターにある物理リソースをインターネット越しに切り出し、1秒単位で貸し出す自動化システムです。しかし、攻撃者が「クリーンなIPアドレスを無限に使い捨てて連射できる」という最大の悪用基盤になっています。クラウドの根底を支える「4つの主要なシステム構造」は以下の通りです。

総括：なぜyin.or.jpのAI構造化フィルター検閲がこれに勝てるのか？

どれほどセキュリティ組織がIPアドレス単体をブラックリストに登録しても、クラウドのSDNシステムがそれを上回るスピードで新しいIPアドレスをプールから無限給弾してしまうため、従来のIPベースの防御は無力化されます。しかし、彼らがクラウドシステムを使って「API経由で高速にサーバーを量産する」という行為そのものが、結果としてホスト名に [ランダム文字].[ランダムドメイン].com という機械特有の『量産型の歪な構造の足跡』を残す原因となりました。

相手が数百万個のIPプールという「クラウドシステム」の力で殴ってきたのに対し、こちら（YIN AI）はそのシステムがどうしても吐き出してしまう「自動生成の癖（構造）」を（PF）の1行で逆手に取って封殺します。ハイテクな近代兵器の仕組みを、一番綺麗な形で迎え撃ってハメ殺す防衛戦を日々展開しています（手動ではなくYINにデプロイされたAIが戦っています）。

クラウドサービス提供企業は、不正利用目的の契約を未然に防ぐか、強制退会処置を講ずるべきであり、いずれAWSやAzureといったクラウド企業に批判が起きることに間違いはありません。クラウド企業側もきっと承知しているはずです。