第148話「記録の糸」
6月6日、午前11時5分。
俺は弁天島に行かなかったため、今日も朝から自席で作業をしていた。
すると、慌ただしく山崎達が帰庁した。
山崎は挨拶だけすると自席に、水越達はすぐに押収したPCとスマホの解析を始めていた。
複写用資機材を積み込んで、帰路で複写作業を終えたと連絡を受けていたが、改めて山崎と水越の熱量の高さを感じた。
実際に重たい資機材を運んだ後藤の功績が大きいが、それを口に出すと調子に乗るだろうから触れなかった。
「……スマホだけで850GBも使ってます。物量が多いので、データ内の優先順位考えて解析ですね。」
水越が解析用端末に複写したディスクを繋ぎながら、感情のない声でそう言った。
「ドキュメント関係と、画像データを先に洗う感じですか？」
「いや、そういう見るのに時間のかかるものは他の捜査員に分担させるよ。私は通知ログと通信メタデータを先に見る予定だよ。」
水越はそう言って、端末に視線を落としたまま操作を続けた。
接続されているのは、スマートフォンの物理イメージ。
USB経由で直接マウントすることはせず、書き込み防止をかけた状態で解析環境に読み込んでいる。
<eventlog>、<statslog>、<netstats>、<packages.xml>、<usagestats>等一般ユーザは通常意識しない部分が詳細に表示されている。
「持論だけど、効率的に解析するときはタイムラインを追いかけるんだ。タイムライン解析をすれば、使っている時の一挙手一投足が丸裸になるからね。」
俺の視線に気づいた水越が、今の作業を説明した。
タイムライン解析とは、スマホやPCの全てのファイルやログを統合し、単純に時系列で並べる方式だと水越の講義でやったことを思い出した。
キーボードを叩きながら、画面がスクロールし、水越は通知ログのデータベース部分で手を止めた。
OSが内部的に保持している通知生成と消去の履歴で、ユーザーが消しても、一定期間は残る種類のログだ。
<
NotificationPosted
NotificationRemoved
>
「……通知は消してるか……でも、消し方雑だね。」
「雑ってどういうことですか？」
「アプリ単位に丸ごと消すんじゃなく、特定の時間帯のものだけ消してる。それも、毎回ほぼ同じ時間。」
そう言いながら、水越は行を次に送った。
「……基地局接続履歴とWi-Fi接続ログから見て、弁天島に入ってる期間だけ消しているのかな。」
「入島前後は普通に通知が残っていて、島にいる間だけログを完全に消してるってことですか？」
「完全に消したってわけじゃなく、消せる範囲だけって感じだね。現にOSのシステムイベントまでは触ってないから、タイムラインを流し見するとログのバリエーションで顕著に分かるよ。」
そう言いながら水越は次に、通信メタデータからVPNの接続・切断時刻を開いた。
「……Torの常駐プロセスがあるね。起動は手動、落とすのも手動に見える。しかも、通信量を最低限に抑えてる。」
水越はログのグラフを表示させると、通信量は細く、短く、規則的だった。
「通信量が少なく見えますから、フォーラム管理は大原。望月は、顧客との連絡とかをだ担当していた…とかですかね。」
水越は「その可能性はあるね。」と言い、さらに別のログを開いた。
USBデバイスのベンダーID、プロダクトID、接続時刻と取り外し時刻。
画面に並んだ接続履歴は、少なすぎるくらい整っていた。
「同一デバイスがほぼ毎回、同じ容量で3回接続してるね……。しかも、コピーした後、ファイル削除じゃなく、ディレクトリごと消してる…」
「何かのデータをローカルに入れて、更新して、USBに保存し直して、ローカルを消してるってことですか。」
「そうだね。しかもファイル自体は消えてる。ただ、ファイルのハッシュ値はキャッシュに残ってる。」
ハッシュ値とは、ファイル内容を元に生成される不可逆で固有の文字列のこと。
言うなれば、ファイルの「指紋」だ。
水越は、画面を切り替えた今特定したハッシュ値で、これまで本件で扱ったデータのハッシュ値と突合するかの確認を始めた。
数分待った末、水越が頷いた。
「大原のPCで押収したフォーラム資料。handlers_list.xlsxのある時点と完全一致したね。つまり、このファイルを望月はスマホで一度は触っていることになる。」
今回の男性売買オークション当日、望月は弁天島でこのファイルを開いた事実が明らかになれば、裏で資源庁がオークションに関与していたことの証明に一歩近づく。
まだ、ただの状況証拠に過ぎないが、積み上げられる証拠を一つずつ積み上げるしかない。
「弁天島にあった有体物は処分されてしまいましたが、まだデータでは解析によって追跡ができますね。」
俺の言葉に水越は、小さく頷く。
「そうだ、だから並行してこっちも見ないといけない。」
そう言って水越が、スマホの通信ログの突合結果をまとめていた。
「望月のスマホから出てきた通信先、IPレンジで洗い直してるんだ。これをすることで、さっき少量の通信が出ていた先が分かる。」
淡々とした声だったが、視線はモニターから離れない。
つまり、望月がhandlers_list.xlsxを見ながら、どことやり取りをしているかの確認だ。
「VPN経由の通信は、出口ノードが毎回違う。でも、その先は……ここ。」
水越は、カーソルを動かし、一行を強調表示した。
「最終到達先のASNが、必ず同じになってますよ。」
俺は思わず声をあげた。
なぜなら、ASNが同じという事実は、望月の通信相手が不特定多数では無いことを意味していた。
「…これ、国内の行政機関用に割り当てられているレンジだよ。資源庁で、しかもその中でも……外部公開されていない、内部系の………庁内ネットワーク……」
そう言いながら、水越がさらに画面を切り替えると、タイムスタンプが並んでいた。
<
2025-06-05 21:14:03 CONNECT
2025-06-05 21:16:11 DISCONNECT
…
>
その下にも、同じような記録が続いている。
「この時間帯、望月は弁天島にいたはずですよね。」
「そうだね。基地局の位置情報と一致してるってことは、資源庁の内部にある何かを、外から見ていたってことになりそうだ。」
ここまで自席から動かなかった山崎が、俺と水越の間に入ってきた。
「何となく話の流れは聞いていた。要は『望月は弁天島で商品一覧を参照し、Torを通じて資源庁の人間とやり取りをしていた』という理解であってるか？」
水越は軽く頷き、次の画面を開いた。
「はい、その通りです。そしてもう一つ。通信が終わった直後、端末側で必ず起きている処理があります……それがこれです。」
<
PACKAGE_USAGE_STATS: com.android.documentsui
EVENT_TYPE: MOVE_TO_BACKGROUND
>
「ファイル管理アプリが必ず開かれ、何かを確認して、持ち出す準備をしているように見えます。」
そう言いながら、水越の動きが一瞬止まり「……あ」と、画面を見つめたまま、短く声を漏らす。
「どうした？」
山崎が優しい声色で問いかけた。
「複写が終わった資源庁側の通信ログと比較すると、同じIPレンジから、別の端末への接続ログが見つかりました。」
「別の端末って、望月のではないってことですか？」
「望月じゃないです。でも、同じ時間帯です。何だろうこれ……」
そう言いながら水越は、端末識別子として機種情報、OSバージョン、管理番号等を
表示させた。
更に別ウインドウで資源庁の資産管理台帳も開き、該当の番号を検索する。
「これ……」
その名前を見た時、山崎が、眉をひそめた。
「資源庁の公用端末……しかも、ユーザアカウント……福田か……」
誰も、すぐには口を開かなかった。
その名前が、ようやく通信ログという客観資料の状態で、そこに現れたからだ。
俺は、画面を見つめながら思った。
これは、命令ではなく、承認の可能性がある。
そして、一連の犯罪を全部を知っていなければ、出来ない仕事だったと思えた。
