米国の捜査当局が追っていた「スノーフレーク」関連の恐喝事件で、カナダ人の男が罪を認めた。クラウド上のデータを盗み出し、公開や追加被害を示唆して金銭を要求していたとされる。
事案の詳細
今回の事件は、クラウドデータ基盤として企業が利用するスノーフレーク（Snowflake）の環境に関連して発生した恐喝（エクストーション）事案だ。クレブス・オン・セキュリティの記事によれば、カナダ・オンタリオ州キッチナー在住の26歳の男コンナー・ライリー・ムーカ（Connor Riley Moucka）が、一連の恐喝行為に関与したとして米国で起訴され、司法取引の一環として罪を認めた。
ムーカは、2024年に行われたスノーフレーク利用企業に対する広範な攻撃キャンペーンに関与し、少なくとも165以上の組織のスノーフレーク環境に不正アクセスして、保存されていたデータを窃取したとされている。さらに、米通信大手AT&Tの顧客に関する1億件を超える通話・SMS履歴情報も盗み出したことを認めている。
司法当局の発表によると、ムーカはコンピュータ詐欺、電信詐欺、加重個人情報窃取（aggravated identity theft）、およびこれらに関連する共謀など、複数の罪状について有罪答弁を行った。加重個人情報窃取の罪については最低2年の実刑が法律上義務付けられており、その他の罪状と合わせると最大で30年以上（約32年）の禁錮刑に直面している。判決言い渡しは10月27日に予定されている。
恐喝の軸になったのは「企業のデータが外部に流出している」という事実（またはその可能性）を突き付け、支払わなければデータを公開する、あるいは被害を拡大させると示唆して圧力をかける手口だ。ムーカと共犯者は、侵害したスノーフレーク環境から数十億件規模の機微情報を盗み出し、一部についてはダークウェブ等で販売を試みたほか、被害組織に対して直接金銭を要求するなど、データの公開と販売を組み合わせた二重・多重の恐喝を行ったとされる。また、特定の政府関係者やその家族に関するデータを使って、同じ被害組織を再度脅迫するといった再恐喝も行われた例が報告されている。
近年の脅迫は、ランサムウェアのようにデータを暗号化して業務を止めるだけでなく、盗んだ情報を「人質」にする形が増えている。本件でも、侵入後にデータを大量にコピーし、復号鍵ではなく「公開されては困る情報そのもの」を材料に金銭を要求するデータ恐喝型攻撃（データ窃取＋恐喝）が中心となった。
記事では、スノーフレークという特定サービスの名前が前面に出ているものの、本質は「クラウド上の認証情報や設定の弱点が突かれると、保存データが一度に持ち出され、脅迫の材料になる」という点にある。報道や裁判資料によると、攻撃者は主に盗まれたログイン認証情報を悪用して正規ユーザーになりすまし、スノーフレーク環境にリモートからログインしていた。多要素認証（MFA）が適切に設定されていないアカウントや、利用されていないまま放置されたアカウントが足掛かりとなり、そこから企業ごとのデータウェアハウスにアクセスし、大量のデータをダウンロードしていたとされる。クラウドは安全という思い込みがあるほど、侵入後の発見が遅れ、被害が拡大しやすい。
日本への影響
日本の中小企業でも、顧客情報や受発注データ、見積・契約書などをクラウドに置くのが当たり前になっている。今回のスノーフレーク関連の恐喝キャンペーンが示すのは、攻撃者が国境や業種を意識せず、世界中のクラウドアカウントやそれに連携するSaaS、APIを一斉に狙って横展開する現実だ。
ムーカらが攻撃した組織の多くは北米や欧州の企業とされるが、日本企業や日本拠点を持つ多国籍企業が含まれていたかどうかは、公表情報ベースでは詳細は現時点で不明である。ただし、AT&Tやグローバル企業のデータが標的となっていることから、グローバルなサプライチェーンや海外の親会社・グループ会社を通じて、日本国内の取引・顧客情報が二次的に影響を受ける可能性は否定できない。
自社が直接スノーフレークを使っていなくても、取引先や委託先が同様のクラウドデータ基盤を使っていれば、漏えいした情報が自社の信用問題や二次被害として跳ね返る。特に、顧客データや取引先マスタを外部ベンダーが預かって分析・可視化しているケースでは、ベンダー側のクラウド環境が侵害された場合に、自社の情報がまとめて窃取されるリスクがある。
対策・今後の展望
- クラウドのログイン保護を最優先：多要素認証（MFA）を必須化し、使われていないアカウントや共有アカウントを整理する。可能なら管理者権限の利用を最小化し、特権アカウントには条件付きアクセス（特定ネットワークや端末からのみログイン許可）などの制限も検討する。
- 外部公開・持ち出しの監視：大量ダウンロードや不審な地域からのアクセスを検知できる設定（アラート）を有効化し、通知先を明確にする。クラウドストレージやDWHの監査ログを定期的に確認し、「通常業務では発生しないデータ転送量」や「深夜帯の一括エクスポート」などの異常パターンを早期に把握できるようにする。
- 委託先・取引先を含む連携の棚卸し：クラウド連携（API、SaaS間連携、データ共有）の範囲を洗い出し、不要な連携を止める。データ共有の権限を「必要最小限」に戻し、第三者ベンダーやグループ会社に対してもMFA、ログ監視、アクセス制御の実施状況を定期的に確認する。
- 恐喝を想定した初動手順：漏えいの疑いが出たとき、誰がログ確認・アカウント停止・取引先連絡・法的対応を判断するかを事前に決めておく。スノーフレークのようなクラウド基盤が攻撃対象となった事例では、被害の全容把握に時間を要することが多いため、「疑い段階」での暫定措置（権限一時停止、トークン失効、キーのローテーションなど）をあらかじめルール化しておくことが重要だ。また、恐喝メールやチャットで要求が届いた場合に備え、社内での報告経路と、警察・専門ベンダー・弁護士等への連絡先を整理しておく。
CSRIからの現場アドバイス
【観点①：現場で何が起きているか】MDRや診断の現場では、侵入の起点が「クラウドの管理画面ログイン」になる例が増えています。海外で盗まれた認証情報が日本企業にも流通し、まずはメールやSaaSを試され、当たると夜間に一気にデータを抜かれます。今回のスノーフレーク事案でも、盗まれたID・パスワードを用いたクラウドへのなりすましログインと、大量ダウンロードによる一括窃取が、攻撃の中心的なパターンになっていました。
【観点②：セキュリティ専門家でない人への平易な解説】例えるなら、会社の倉庫がクラウドで、鍵がIDとパスワードです。つまり鍵が盗まれると、扉を壊さずに中身を運び出され、「返してほしければ金を払え」と脅される、ということです。今回のようなケースでは、その倉庫が一社分ではなく、多数の企業の倉庫が隣り合って並んでいる巨大な物流センターのようなものになっており、一つのマスター鍵や警備の穴を突かれると、多数の倉庫から中身を一気に持ち出されてしまうイメージです。
【観点③：中小企業が今週中にできること】まず主要なクラウドとメールの管理者アカウントにMFAが付いているか確認し、未設定は今週中に必須化します。次に、直近30日のログイン履歴と大量ダウンロードの有無を担当者に見てもらい、不審があれば即時パスワード変更とセッション無効化を実施します。さらに、外部ベンダーや親会社などが自社データにアクセスしている場合は、そのアクセス元でも同様の対策（MFA必須化、ログ点検）が行われているか、簡易なチェックリストで確認しておくとよいでしょう。