Snowflake の認証情報窃取キャンペーンと共有責任の限界

要約

• 確認されたキャンペーンの境界:Mandiant は、金銭的な動機を持つキャンペーンを UNC5537 によるものとし、直接対応したすべてのキャンペーンインシデントが侵害された顧客認証情報に起因するとしました。不正な顧客アクセスが Snowflake のエンタープライズ環境の侵害から生じたという証拠は見つかりませんでした。Snowflake も同様に、この活動を引き起こしたプラットフォームの脆弱性、設定ミス、または侵害の証拠はないと述べています。
• 観察された制御チェーン:侵害されたアカウントには多要素認証がなく、過去の情報窃取型マルウェアの記録で露出した認証情報が保持され、ネットワーク許可リストもありませんでした。攻撃者はサポートされている Snowflake クライアントと SQL 操作を使用してデータを列挙、ステージング、圧縮、ダウンロードしました。約165の組織が潜在的に露出したとして通知されましたが、これは確認された侵害、人物、または記録の数ではありません。
• 共有責任の所見:顧客はユーザー、ロール、パスワードローテーション、MFA 登録、ネットワークポリシー、エンドポイント衛生、データ最小化を管理していました。Snowflake は、どの保護が存在するか、それらがどのように提示されデフォルト設定されるか、プラットフォームがどのようなクロスカスタマーシグナルを認識できるか、警告やより強力なベースライン動作がどの程度迅速にインストールベースに届くかを管理していました。これらの責任は同時に発生し、相互に排他的ではありません。
• 主権の所見:Snowflake リージョンを選択すると、アカウントストレージとコンピュートが配置される場所が決まります。Snowflake のドキュメントでは、ユーザーアクセスを制限しないと明示されています。このキャンペーンでは、有効なアイデンティティがあれば、リージョンに保存されたデータセットをダウンロードコピーに変換できました。アイデンティティ、エグレス、および証拠の制御がないデータローカリティは、配置の決定であり、完全な主権管理ではありません。

プラットフォームが侵害されたとは示されていないが、サービス関係は試された

このケースにおける最初の規律は語彙です。Snowflake 顧客インスタンスは、Snowflake 自身のエンタープライズ環境や共有プロダクションプラットフォームと同じものではありませんでした。有効な認証情報を持つ人物は、別のテナントに侵入したり、ソフトウェアの脆弱性を悪用したり、プロバイダー管理者アカウントを取得したり、顧客を分離するインフラを破壊したりすることなく、ある顧客のアカウントに入ることができました。公開されている証拠は顧客アカウントの侵害を支持しています。プラットフォーム全体の技術的な侵害を支持するものではありません。

Mandiant のUNC5537 キャンペーンレポートは、その点で異例に直接的です。Mandiant 自身が対応したキャンペーンに関連するすべてのインシデントについて、根本原因は侵害された顧客認証情報でした。その調査では、顧客アカウントへの不正アクセスが Snowflake のエンタープライズ環境の侵害から生じたという証拠は見つかりませんでした。Snowflake 自身の調査および強化通知も同様に、標的となった顧客アカウントをプロダクションプラットフォームから分離し、顧客が自身の環境を調査するためのクエリと指標を提供しました。CISA は2024年6月3日の注意喚起でそのガイダンスを強化しました。

その否定的な所見は重要です。この出来事を Snowflake プラットフォームの侵害と呼ぶことは、共有コードまたはインフラの欠陥がすべてのテナントを開放したこと、または Snowflake が顧客を解放するマスター認証情報を失ったことを暗示する可能性があります。レビューされた記録はどちらも確立していません。また、顧客が直ちに取る必要があった行動（パスワードのみのユーザーの特定、認証情報のローテーション、ログインとクエリ履歴の調査、ネットワークの制限、ロール権限の削減、証拠の保存）を不明瞭にすることになります。

反対の誤りは、プラットフォーム侵害の欠如をプロバイダー説明責任の問題の欠如として扱うことです。クラウドサービスは、顧客がビットを置くニュートラルなディスクに過ぎません。Snowflake は、認証情報を受け入れる認証エンドポイント、攻撃者が使用したインターフェース、コマンドを処理したクエリエンジン、セッションを記録したテレメトリ、および第二要素やネットワーク発信元を要求できた製品コントロールを構築し運用していました。Snowflake はまた、個々の顧客が持つことのできない顧客間の可視性を持っていました。決定的なコントロールが顧客によって設定可能であったという事実は、誰がそれを設定する運用上の義務を持っていたかを決定します。プロバイダーのデフォルト、警告、検出、および強制が、そのサービス上のデータ集中に見合ったものであったかどうかという問いに答えるものではありません。

Snowflake の2025会計年度Form 10-Kはその立場を正式に示しています。Snowflake はプラットフォームと基盤となるクラウドインフラのセキュリティに責任を負い、顧客は環境の管理を選択して設定すると述べています。2024年5月のアクセスを、顧客が MFA やネットワークポリシーなどの義務を果たせなかったことに帰していますが、訴訟、規制調査、議員の問い合わせ、風評被害、および補償紛争の可能性も記録しています。これは、Snowflake の表明されたモデルとビジネスエクスポージャーに関する重要な企業証拠です。すべての責任または法的請求が顧客側にあるという独立した判断ではありません。

したがって、有用な質問は「誰が侵害されたのか？」よりも狭く、「誰のパスワードが盗まれたのか？」よりも広いです。それは、盗まれた秘密からダウンロードされたデータまでの各ステップで、どのアクターがその行動を防止、検出、中断、再構築、または警告できるかです。説明責任は、これらのステップに対する管理に従います。

キャンペーンは古いエンドポイント窃取と現在のクラウド権限を結びつけた

Mandiant は2024年4月に、後に被害者の Snowflake インスタンスに遡るデータベース記録に関する脅威インテリジェンスを初めて入手しました。その被害者は Manditant と契約し、Mandiant は侵入者が情報窃取型マルウェアによって以前に盗まれた認証情報を使用したと結論付けました。該当するアカウントには MFA が有効化されていませんでした。5月22日、より広範なキャンペーンを示すインテリジェンスを特定した後、Mandiant は Snowflake に連絡し、潜在的な被害者への通知を開始しました。Snowflake は5月30日に顧客向けの検出および強化ガイダンスを公開しました。6月のレポートまでに、Mandiant と Snowflake は約165の潜在的に露出した組織に通知しました。

その最後の文のすべての用語は、誇張から保護される必要があります。「約」は推定値を示します。「潜在的に露出した」は通知母集団を表し、165の完全な鑑識結果ではありません。「組織」はアカウント、データベース、人物、または記録を意味しません。一部の組織は複数の Snowflake アカウントを運用している可能性があり、1つのアカウントがはるかに多くの人口に関するデータを保持している可能性があります。このレポートは、確認された組織、影響を受けた個人、エクスポートされたバイト数、または身代金支払いのキャンペーン全体の合計を提供していません。

認証情報の履歴は、2024年のクラウドログインが何年も前のエンドポイント感染から始まる理由を説明しています。Mandiant は、UNC5537 が使用したほとんどの認証情報が過去の情報窃取型マルウェアの出力に存在し、最も初期の関連感染は2020年11月に観測されたことを発見しました。アクターが活用したアカウントの少なくとも79.7％は以前に認証情報の露出がありました。この割合は、分析されたキャンペーンでアクターが使用したアカウントに適用され、すべての Snowflake 顧客または165の通知された組織すべてには適用されません。

3つの条件が繰り返し露出した秘密を機能するアクセスに変えました。影響を受けたアカウントは MFA が設定されていませんでした。情報窃取型マルウェアの記録で見つかったパスワードは、何年もの間有効なままでした。影響を受けた顧客インスタンスには、信頼できる発信元への接続を制限するネットワーク許可リストがありませんでした。これらの条件のいずれも新しいエクスプロイトではありません。一緒になって、永続的な認証パスを形成しました。アカウントロケーター、ユーザー名、およびまだ有効なパスワードを知っています。攻撃者が管理するシステムから接続します。セッションを受け取ります。割り当てられたロールを継承します。そのロールが読み取れるものをクエリします。

エンドポイントの側面も、従来の従業員ラップトップのストーリーよりも分散していました。いくつかの調査で、Mandiant は、ゲームや違法ダウンロードを含む個人活動にも使用された請負業者のシステムで以前の情報窃取型マルウェア感染を発見しました。請負業者のデバイスは、顧客の管理対象エンドポイントフリートの外側にありながら、複数のクライアントの認証情報を保持している可能性があります。また、専門請負業者はデータプラットフォームを構築または運用するためによく雇われるため、管理者アカウントを保持している可能性もあります。ユーザーを作成した顧客はアイデンティティとその特権に対して引き続き責任を負いますが、露出は顧客自身のエンドポイントツールからは見えない場合があります。

これはクラウド依存の乗数効果です。認証情報は1つのエンドポイントから盗まれ、おそらく Snowflake またはデータ所有者のフリートの外にあります。認証情報はグローバルサービスによって受け入れられます。ロールは、複数のビジネスシステムからの何年分もの記録を含む統合ウェアハウスに到達する可能性があります。攻撃者はもはやそれらのソースシステムを1つずつ侵害する必要はありません。ウェアハウスを顧客にとって有用にした分析価値は、成功したアクセスを恐喝アクターにとって価値あるものにもしました。

攻撃者は、認証情報の窃取、購入、テスト、使用、許可なく顧客環境への侵入、データの取得、販売または恐喝の試みに対して直接責任を負います。それらの犯罪を可能にした管理の失敗を説明することは、その責任を薄めるものではありません。それは、同じ犯罪手法がなぜ大規模に成功したのか、そして再発をどのように減らすことができるのかを説明します。

サポートされている機能が流出経路となった

キャンペーンは認証で止まりませんでした。Mandiant は Snowsight、SnowSQL、ドライバー、およびデータベースツールを介したアクセスを観察しました。アクターはユーザー、ロール、セッション、組織名、データベース、スキーマ、テーブルをリストしました。使い慣れた SQL 操作を使用してデータを選択し、一時ステージを作成し、クエリ出力を圧縮ファイルにコピーし、それらのファイルをローカルマシンに取得しました。いくつかのインスタンスでは、同様のコマンドが異なる顧客環境にわたって現れました。

そのシーケンスは、不正なアイデンティティの下での通常の機能としてインシデントを理解可能にします：

1. 有効な顧客ユーザー名とパスワードがセッションを確立しました。
2. セッションは顧客によって割り当てられたロールとオブジェクト権限を継承しました。
3. 偵察により、価値のあるテーブルと利用可能なステージが特定されました。
4. クエリはロールが読み取りを許可されたレコードを選択しました。
5. 一時ステージングとCOPY INTOにより、結果がダウンロード可能なファイルに変換されました。
6. GETにより、ファイルが攻撃者が管理するクライアントに移動されました。

そのチェーンのどのステップもデータベースの誤動作を必要としませんでした。これが、保存時の暗号化が必要ではあるが、決定的な制御ではなかった理由です。Snowflake のエンドツーエンド暗号化ドキュメントは、顧客データは保存時に暗号化され、転送中は TLS 下にあると述べていますが、Snowflake は変換またはテーブル操作の実行中にデータを復号化し、ユーザーが結果をアンロードおよびダウンロードすることを許可すると説明しています。暗号化は、認可またはキーを持たない第三者からのファイルと転送を保護します。許可されたアイデンティティが許可されたロールでサービスに読み取り可能な結果を返すよう要求するのを防ぐことはできません。

同じ原則は顧客管理キーにも適用されます。キー管理はプロバイダー、ストレージ、および失効のシナリオに対処できますが、実行中のアカウントは許可されたクエリを提供するためにそのキー階層を使用する必要があります。キーポリシーがセッションまたは操作を拒否する個別の決定に接続されていない限り、データベースはアカウント所有者と、所有者の設定された認証ポリシーを満たした侵入者を区別できません。

したがって、ロール設計はログイン後の半径を制御しました。Snowflake の現在のアクセス制御モデルは、ロールベースおよび任意アクセス制御、所有権、ロール階層、およびオブジェクト権限をサポートしています。狭いデータベースまたはビューにのみ割り当てられた認証情報は、ACCOUNTADMIN、広範なウェアハウス使用、または生データセット全体への選択アクセスを保持するものとは異なる結果をもたらします。統合で使用されるサービスアカウントは、人間の管理者の探索範囲を継承すべきではありません。請負業者の一時的なロールは、有効なパスワードで休眠するのではなく、エンゲージメントとともに期限切れになるべきです。

データ保護ポリシーは、ロールが侵害された場合でも結果を絞り込むことができます。Snowflake の機密データ分類ドキュメントは、個人および機密カラムの発見をマスキングおよび行アクセスポリシーと結び付けています。これは現在の機能の説明であり、影響を受けたすべての顧客が2024年にデータを分類またはマスキングしていたという証拠ではありません。これは設計上の問いを確立します。顧客は、集計、最近のパーティション、トークン化されたフィールド、または承認されたビューのみを必要とするアイデンティティに完全な履歴テーブルを公開していましたか？

エクスポートはそれ自体が特権的なビジネス機能であり、そのように管理されるべきです。データウェアハウスは、正当なパイプライン、バックアップ、モデルトレーニング、およびダウンストリームシステムのためにバルクアンロードを必要とすることがよくあります。完全な禁止は現実的ではありません。しかし、ステージの作成、異常に大きな結果のアンロード、または未知のクライアントとネットワーク発信元の使用は観察可能であるべきであり、高リスクデータセットについては、承認、レート制限、宛先制限、短期昇格、または別個のエクスポートロールを正当化する可能性があります。キャンペーンのコマンドは実行するには十分に正常でしたが、コンテキストでは迅速なセキュリティ判断に値するほど異常でした。

顧客は設定を所有し、Snowflake はベースラインを所有していた

MFA は最も鋭い共有責任テストです。なぜなら、両側が真実の事実を述べることができるからです。顧客管理者はそれを有効にすることができ、期待されていました。Snowflake は2015年から MFA を提供し、2016年からネットワークポリシーを提供していました。同時に、2024年に成功したアカウントは MFA なしで認証できました。つまり、サービスの実効ベースラインは、それらのアカウントに対してパスワードのみのパスを許可していました。

可用性と強制の違いは意味論的ではありません。セキュリティ機能は無料で、文書化され、推奨されていても、重要なセッションには存在しない可能性があります。管理者は、古い統合、非対話型サービスユーザー、請負業者、緊急時用アカウント、複数クライアント、およびロックアウトの恐れに直面します。これらの制約は導入の摩擦を説明します。特権的な人間のアクセスを再利用可能なパスワードに依存させることを正当化するものではありません。また、プロバイダーに移行ツールを構築し、人間とサービスのアイデンティティを分離し、例外を明示的にするために必要な情報を提供します。

キャンペーン後、Snowflake の公的な方向性は、推奨からより強力なデフォルトへと移行しました。2024年7月のSecure by Design 誓約の発表では、MFA ポリシー管理と Trust Center チェックを強調しました。2024年9月、Snowflake は、2024年10月以降に作成されたアカウントの人間ユーザーに対してMFA をデフォルトで強制すると述べ、人間にはアイデンティティプロバイダーMFA を使用した SSO を、サービスには OAuth またはキーペア認証を推奨しました。新規アカウントと既存アカウントの区別は重要です。セキュアなデフォルトは将来の作成を保護します。インストールベースの継承されたすべてのパスワードパスを自動的に削除するわけではありません。

Snowflake は後に漏洩パスワード保護を導入しました。これは、脅威インテリジェンスフィードを使用して、プライバシーを保護するプロセスで報告された漏洩パスワードをテストし、まだ有効であることが確認された場合にパスワードを無効にします。このプロバイダー側の管理は、UNC5537 の利点の1つである、引き続き使用可能な古い情報窃取型マルウェアの認証情報に直接対処します。また、共有責任が進化できるという証拠でもあります。顧客は引き続きアイデンティティとローテーションを管理する必要がありますが、プロバイダーはクロスサービスインテリジェンスを使用して、各顧客が個別に発見する前に盗まれたパスワードを機能しなくすることができます。

現在の認証ポリシードキュメントにより、管理者は許可された方法とクライアントを制御し、アカウントまたはユーザーレベルで MFA を要求できます。また、クライアントタイプの制限はベストエフォートであり、単独のセキュリティ境界とすべきではないと警告しています。現在のキーペアガイダンスは、サービスユーザーに静的パスワードの代替手段を提供します。これらのページは2026年までに利用可能な機能を説明しています。2024年4月のすべての顧客の正確な機能、デフォルト、または強制状態の証明として遡って読まれるべきではありません。

基準は、プロバイダーのデフォルトが分析の内側にある理由を説明するのに役立ちます。NIST の現在の認証および認証子管理ガイダンスは、パスワードをリプレイ耐性がないものとして扱い、フィッシング耐性をユーザーの警戒に依存しないプロトコルプロパティとして定義しています。2024年のCISA Secure by Design 誓約は、特にデフォルト MFA、永続的な製品ナッジ、ベースライン SSO サポート、および導入メトリクスの公開を、ソフトウェアメーカーが MFA 使用を測定可能に増やす方法として特定しています。Snowflake はキャンペーン後にこの自主的な誓約に署名しました。この誓約は Snowflake の2024年の設計に関する法的評決ではありませんが、チェックボックスを提供することがプロバイダーの役割を尽くすという考えを否定しています。

説明責任のあるベースラインはアイデンティティタイプを区別します。人間の管理者はフィッシング耐性 MFA または強力に管理されたフェデレーションアイデンティティを使用すべきです。サービスワークロードは、ロボットがプッシュ通知に応答できるふりをすることなく、範囲設定、ローテーション、属性付与が可能なワークロード認証情報を使用すべきです。緊急時用アクセスは、まれで、監視され、時間制限があり、テストされるべきです。請負業者のアイデンティティには、所有者、有効期限、承認されたデバイス状態、およびクライアント間の認証情報の再利用がないことが必要です。すべての例外は、アクティブな従業員だけでなく、すべてのアイデンティティを分母とするダッシュボードに表示されるべきです。

ネットワークポリシーは第二のゲートであり、アイデンティティの代わりではない

Mandiant の3番目の繰り返し要因は、ネットワーク許可リストの欠如でした。したがって、有効な認証情報は、顧客のウェアハウスに到達するビジネス上の理由がないインフラから使用できました。ネットワーク制限は盗まれたパスワードを修復しませんが、信頼できない発信元からそのパスワードを不十分にすることができました。

Snowflake の現在のネットワークポリシードキュメントは、デフォルトを明示しています。ポリシーがない場合、ユーザーは任意のコンピュータまたはデバイスから接続できます。顧客は IP 範囲とプライベートエンドポイントを許可またはブロックし、アカウントまたはユーザーレベルで制御を適用し、追加設定で内部ステージアクセスを制限できます。プライベート接続とパブリックアクセス制御により、高感度アカウントをさらに強化できます。

顧客は承認されたオフィス、クラウドワークロード、VPN、請負業者、および統合エンドポイントを知っているため、顧客が使用可能な許可リストを定義する必要があります。Snowflake はビジネスを混乱させることなくすべての正当な発信元を推測できません。しかし、プロバイダーはデフォルトの到達可能性、ポリシー構文、変更をシミュレートする機能、ロックアウト保護、ログ記録、およびアカウントポリシーが存在しない場合に管理者が警告されるかどうかを制御します。プラットフォームは顧客の選択を維持しながら、無制限のパブリックアクセスを黙示的な定常状態ではなく、可視で時間制限のある例外にすることができます。

ネットワークルールには限界もあります。攻撃者は承認された請負業者のデバイスからセッションを取得したり、許可された企業 VPN を経由したり、許可されたクラウド内のワークロードを侵害したり、認証後にトークンを盗んだりする可能性があります。大企業では、静的リストを困難にする変更するエグレスアドレスがある場合があります。プライベート接続は、それをサポートしない SaaS ツールを除外する可能性があります。これらは、ネットワーク制御を強力なアイデンティティと行動検出と組み合わせる理由であり、それらを省略する理由ではありません。

キャンペーンは独立したゲートの価値を示しています。パスワードローテーションは過去の認証情報を無効にしていたでしょう。MFA は別の要素を必要としていたでしょう。ネットワークポリシーは未知の発信元を拒否していたでしょう。最小特権は可視データを減らしていたでしょう。エクスポート制御はステージングを中断できたでしょう。検出は滞留時間を短縮できたでしょう。単一の対策は完璧ではありません。攻撃者は、いくつかが同時に欠如しているか寛容であった場合に成功しました。

説明責任については、各ゲートに所有者と効果測定が必要です。「ネットワークポリシー対応」は製品の事実です。「すべての本番アカウントに、サービスと内部ステージをカバーするテスト済みポリシーがある」は運用成果です。「MFA 利用可能」は製品の事実です。「特権のある人間は再利用可能なパスワードだけでセッションを確立できない」は成果です。共有責任は、両当事者が自らの境界で成果を示すことができる場合にのみ意味を持ちます。

プロバイダーは、各顧客がインシデントとしてしか見えないキャンペーンを見た

個々の顧客は、自身の失敗および成功したログイン、クライアント、IP アドレス、クエリテキスト、ロール、ステージ、データ移動を検査できました。Snowflake はアカウント間でパターンを相関させることができました。同じインフラ、異常なクライアント、繰り返される偵察、同様のステージングコマンド、パスワードのみのログインの急増、または脅威インテリジェンスフィードに一致する認証情報です。この非対称性は、プロバイダーの最も重要な非契約的責任です。これは、サービスを大規模に運用することによって生じます。

Snowflake の現在のLOGIN_HISTORY ビューは、1年間のログイン試行を保持し、ユーザー、発信元 IP、報告されたクライアント、第一および第二要素、成功、および関連するリスク詳細を含み、文書化されたレイテンシがあります。QUERY_HISTORYは、1年間のクエリアクティビティを保持し、クエリを認証イベント、セッション、ユーザー、ロール、テキスト、結果バイト、アンロードされた行、ネットワーク経由で送信されたバイトに接続します。エンタープライズ顧客はACCESS_HISTORYを使用して、アクセスされたテーブル、ビュー、カラム、ステージ、ポリシー、および変更されたオブジェクトを再構築できます。これらのスキーマは、高品質の調査のための原材料を提供します。

生の履歴は検出と同じではありません。顧客はアナリストにアクセスを付与し、データをエクスポートまたはクエリし、通常の動作を理解し、アラートを作成し、ルーティングし、必要に応じてネイティブウィンドウを超えて保持し、対応をスタッフする必要があります。2時間のテレメトリレイテンシは、遡及的レビューには許容されるかもしれませんが、一部のバルクエクスポートの決定には遅すぎます。カラムレベルのアクセス履歴に関するエンタープライズエディションの境界も、顧客が露出をどの程度正確に範囲設定できるかに影響します。これらの製品と運用の事実は、調達中にテストされるべきであり、窃盗後に発見されるべきではありません。

Snowflake の現在のTrust Centerは、MFA 登録、アカウントネットワークポリシー、特権ロール、休眠ユーザー、リスクのあるサインイン、異常な IP アドレス、およびセキュリティおよび脅威インテリジェンススキャナーによる大規模データ転送をチェックします。現在のドキュメントはまた、制限事項を述べています。一部のパッケージは有効化する必要がある、一部の検出は1時間以内に到着する可能性がある、設定されたポリシーの存在はその内容が意図された目的を達成することを証明しない、などです。繰り返しますが、現在の機能は、特定の顧客または Snowflake が2024年春に何を検出したかの証拠ではありません。これは、プロバイダーがクロスカスタマーの障害パターンを理解した後に製品化できるものを示しています。

警告システムは2つの層で動作する必要があります。テナント層では、顧客はアクティビティをブロックまたは一時停止するための即時でエクスポート可能なイベントと制御を必要とします。プロバイダー層では、Snowflake はキャンペーン分析と、顧客に行動に十分な証拠を添えて通知する実践的なプロセスを必要とします。有用な通知には、アカウントおよびユーザー識別子、UTC タイムスタンプ、発信元インフラ、認証要素、セッションおよびクエリ ID、コマンド、タッチされたオブジェクトとカラム、ステージングアクション、推定転送量、封じ込めステータス、および信頼度が含まれます。「潜在的に露出した」は、可能性を解決するために必要な証拠が続く場合にのみ、適切な開始ラベルです。

プロバイダーの介入にはガバナンスも必要です。顧客セッションを自動的にブロックすると、本番が中断される可能性があり、プロバイダーの契約上の権限を超える可能性があります。行動しないと、継続的な窃盗を許す可能性があります。したがって、設計はリスクしきい値、一時保留、顧客エスカレーションチャネル、緊急連絡先、および事前に迅速なオーバーライドプロセスを定義する必要があります。顧客は、いつでも高重大度アラートを受信し、停止を承認できる人物を指名する必要があります。プロバイダーは、クロスアカウントシグナルから顧客連絡までの時間、封じ込めまでの時間、および完全な証拠パッケージを取得できる通知を受けた顧客の割合を測定する必要があります。

データローカリティはアクセスをローカルにしなかった

Snowflake は、顧客にレイテンシ、回復性、プライバシー、規制、および主権要件があるため、リージョナルデプロイメントをマーケティングおよび文書化しています。Snowflake のサポート対象リージョンドキュメントは、各アカウントが1つのリージョンでホストされ、ユーザーが明示的にコピー、移動、または複製しない限り、データはそのリージョンに留まると述べています。同じページには重要な制限が含まれています。リージョンはデータが保存され、コンピュートがプロビジョニングされる場所を決定します。ユーザーの Snowflake へのアクセスを制限しません。

その区別は、UNC5537 チェーンを主権のケースに変えます。侵入前は、顧客のテーブルは選択された国またはリージョナルクラウドロケーションに保存され、処理されていた可能性があります。認証成功後、攻撃者はリージョナルアカウントを別の場所からクエリし、結果をステージングし、クライアントにダウンロードできました。Mandiant は一時ステージからのローカル取得の技術的パターンを観察しました。公開キャンペーン記録は、すべての被害者の発信国、宛先国、または法的移転ステータスを確立していないため、不法な国境を越えた移転の普遍的な主張は支持できません。それでも、アーキテクチャは、ストレージのローカリティだけではユーザーのローカリティを強制できないことを示しています。

リージョン間の共有と複製は、別の正当な移動経路を作成します。Snowflake のリージョン間共有ガイダンスは、組織がデータを異なるリージョンまたは国に複製する前に法的および規制上の制限を確認するよう指示しています。これは顧客管理下での計画的な移動です。認証情報主導のエクスポートは異なります。ソースアカウントの場所を変更せずに、選択された環境外に制御不能なコピーを作成する可能性があります。ソースリージョンのみを記録するデータインベントリは、攻撃者がコピーを削除した後でも「EU」または「カナダ」と言い続けます。

したがって、データ主権には少なくとも4つの層があります。

• 配置:権威あるストレージとコンピュートリソースがプロビジョニングされる場所。
• アクセス:どの人間およびマシンのアイデンティティが、どのデバイス、ネットワーク、および管轄区域から接続できるか。
• 移動:どのクエリ、アンロード、共有、複製、コネクタ、およびダウンロードが別のコピーを作成できるか。
• 証拠と救済:組織がアクセスの発信元、何が出て行ったか、どの人物または規制対象記録が関与したか、および封じ込めと通知をどの程度迅速に行えるかを証明できるか。

プロバイダーは、顧客がポリシーを選択する場合でも、4つの層すべての重要な部分を制御します。リージョンを提供し、それらにアカウントデータを保持します。リクエストを認証し、ネットワーク制御を公開します。エクスポートコマンドを実行し、クエリメタデータを記録します。クロスカスタマー脅威可視性を持ち、漏洩パスワードを無効にできます。顧客は、法的根拠、データカテゴリ、ロール、許可された発信元、マスキング、保持、および承認された移動を決定します。これらの補完的な制御なしのリージョナルホスティングコミットメントは、狭いデータセンターの場所要件を満たす一方で、データをグローバルにコピーする実質的な権限を露出したままにする可能性があります。

これが、暗号化と主権を混同してはならない理由でもあります。暗号化は、保存されたオブジェクトをインフラ運用者または許可されていないストレージ層のリーダーから保護できます。オブジェクトを分析する必要があるアプリケーションは、必然的にデータを許可されたクエリコンテキストで利用可能にします。アイデンティティ保証とロール範囲が弱い場合、暗号化のローカリティは運用上の流出と共存できます。

顧客の開示は異なる結果を示しており、単一の一様な侵害ではない

このキャンペーンは、著名な顧客名を通じて説明されることがよくありますが、各顧客の公開記録には独自の範囲、日付、データ、用語、および信頼度があります。ある会社の事実を別の会社に移したり、犯罪フォーラムの主張を確認された人口に変換したりするのは安全ではありません。

Live Nation の2024年5月31日Form 8-Kは、5月20日に、主に Ticketmaster からの会社データを含むサードパーティのクラウドデータベース環境で不正アクティビティを特定したと述べています。5月27日、犯罪アクターが会社のユーザーデータを売りに出したと申し出、Live Nation は適宜、法執行機関、規制当局、およびユーザーに通知していると述べています。提出書類は Snowflake に言及しておらず、確認された影響を受けた人数を提供しておらず、認証経路を説明していません。

Ticketmaster Canada のインシデントページは、異なる詳細レベルを提供しています。サードパーティのデータサービスプロバイダーがホストする分離されたクラウドデータベースへの不正アクセスを説明し、データベースには一部の北米チケット購入者の限られた個人情報が含まれており、可能性のあるフィールドとして電子メール、電話番号、暗号化されたカード情報、および顧客が提供したその他の情報をリストしています。Ticketmaster の顧客アカウントは影響を受けなかったと述べています。この最後の境界は重要です。バックエンドデータウェアハウスの侵害は、攻撃者が各人物の Ticketmaster ログインを取得したことや、消費者アカウントを通じて取引できたことの証拠ではありません。

カナダプライバシーコミッショナー事務局の2025年10月議会問題シートは、Ticketmaster が使用するサードパーティプロバイダーとして Snowflake を特定し、Ticketmaster Canada のインシデント期間を2024年4月2日から5月18日とし、数百万人のカナダ人を含む個人情報が関与したと述べています。また、調査は継続中であり、PIPEDA に基づくデータ管理者としての Ticketmaster Canada が調査対象のエンティティであると述べています。これは有用な規制コンテキストですが、保護措置の妥当性、通知のタイミング、または責任を解決する最終的な判断ではありません。

AT&T の2024年7月12日Form 8-Kは、インシデントが一緒に議論される場合でも、ソースの境界が重要である理由を示しています。AT&T は、アクターがサードパーティのクラウドプラットフォーム上の AT&T ワークスペースに不正アクセスし、4月14日から4月25日までファイルを流出させたと述べています。ファイルには、ほぼすべての AT&T ワイヤレス顧客および関連するモバイル仮想ネットワーク事業者顧客の、指定された2022年の期間および2023年の1日分の通話およびテキストインタラクション記録が含まれていました。AT&T は、ファイルには通話またはテキストの内容、社会保障番号、生年月日、または AT&T がその用語を使用したその他の個人情報は含まれていなかったと述べています。提出書類自体は Snowflake または UNC5537 に言及していません。これは AT&T のインシデント事実を支持しますが、単独ではキャンペーンの属性付けにはなりません。

これらの記録は4つの規律ルールをもたらします。第一に、顧客の提出書類をその顧客にのみ使用すること。第二に、データベース、組織アカウント、消費者ログインを区別すること。第三に、データフィールドとそれらが表す人数を区別すること。第四に、「メッセージ内容なし」や「消費者アカウントは影響を受けていない」などの否定的な事実を影響とともに保存すること。分析が劇的な主張を拡大し、限定的なものを削除すると、説明責任は信頼性を失います。

顧客は委任したデータとアイデンティティに対して引き続き責任を負っていた

共有責任の顧客側は重要です。組織は Snowflake ユーザーを作成または承認し、認証パスを選択し、ロールを割り当て、データをロードし、履歴を保持し、リージョンを選択し、統合を有効にし、どの従業員および請負業者がウェアハウスをクエリできるかを決定しました。また、そのデータに含まれる人々との主要な関係を保持し、通常、該当するプライバシー法に基づく管理者の義務を負っていました。

顧客はいくつかの時点で観察されたキャンペーンを中断できた可能性があります。エンドポイント露出後にパスワードをローテーションし、パスワードのみのサービスアカウントを禁止し、人間には MFA を要求し、管理されたアイデンティティプロバイダーを通じてアクセスをフェデレーションし、ネットワークを制限し、請負業者ユーザーを期限切れにし、ロール権限を削減し、機密フィールドを分類およびマスキングし、エクスポート権限を分離し、ログインおよびクエリ履歴を監視し、クラウドプロバイダーの通知をリハーサルすることができました。規制対象または高影響のデータセットの場合、これらは調達に委任されたオプションの強化ではなく、基本的な運用上の義務です。

エンドポイントと請負業者のガバナンスは特に注意を払う価値があります。高い影響力を持つクラウドロールを持つユーザーは、管理されていない個人用コンピュータから認証すべきではありません。請負業者は、可能な場合、顧客管理の仮想デスクトップまたはエンドポイント監視付きのデバイスを使用する必要があります。彼らのアイデンティティは顧客ごとに一意であり、スポンサーにリンクされ、自動的に期限切れになる必要があります。組織は、自社の Snowflake アカウントパターンについて認証情報露出フィードを検索し、証拠が現れた場合に確認された悪用を待たずにローテーションを強制する必要があります。

最小特権は、役職ではなくデータに対してテストされる必要があります。「アナリスト」は非管理職に聞こえるかもしれませんが、顧客、従業員、または取引テーブルのすべての行への選択アクセスを保持している可能性があります。ロールレビューは、どの行とカラムが返されるか、生の識別子が必要かどうか、バルク結果セットをステージに書き込めるかどうか、アイデンティティが新しい認証情報や統合を作成できるかどうかを問うべきです。ロールの下でのサンプルクエリは、きれいなロール名よりも強力な証拠です。

顧客はまた、対応準備を所有しています。Snowflake ユーザーを従業員または請負業者にマッピングし、クエリを影響を受けるデータ主体に、エクスポートを管轄区域と通知分析にマッピングできる必要があります。ネイティブの1年履歴は、より長い法的保持や遅延発見には不十分な場合があるため、高リスク顧客は関連イベントを独立したセキュリティストアにストリーミングする必要があります。プロバイダーのアラートは、顧客のセキュリティチーム、プライバシーオフィス、ビジネスオーナー、およびエグゼクティブ意思決定者へのテスト済みパスを必要とします。

NIST のサイバーセキュリティフレームワークサプライチェーンガイドは、重要度に応じてサプライヤー要件を定義し伝達することを推奨しています。ここに適用すると、Snowflake 顧客は、インシデント通知のタイミング、証拠フィールド、保持、サポートエスカレーション、リージョナル処理、サブプロセッサの可視性、管理変更通知、および保証アクセスについて契約すべきです。また、損失または侵害が許容できないデータ機能のための退出または分離計画を維持すべきです。共有責任は、インシデント後にのみ現れる段落ではなく、テスト可能なインターフェースとして記述されるべきです。

Snowflake はサービスレベルのリスク低減に対して引き続き責任を負っていた

Snowflake は、請負業者の個人用デバイス上のマルウェアや、顧客が MFA を無効のままにする決定を制御していませんでした。しかし、古いパスワードが唯一の要素であり続けることができるかどうか、無制限の発信元が静かなデフォルトであったかどうか、リスクのある構成が永続的な警告を生成したかどうか、およびプロバイダーが顧客間のパターンを観察した後に何をしたかを制御していました。

このケースにおけるプロバイダーの説明責任には6つの部分があります。

セキュアなベースライン。人間の特権アクセスは再利用可能なパスワードだけに依存すべきではありません。サービスアイデンティティには別のタイプとサポートされる非パスワード方式が必要です。新しいデフォルトは、段階的な強制、明示的な例外、および移行支援を通じて既存の高リスクアカウントに到達し、新しいテナントのみを保護するのではありません。

構成の可視性。プロバイダーはセキュリティ管理者に完全な分母を表示する必要があります。MFA のない人間、パスワードを持つレガシーサービスユーザー、休眠アカウント、ネットワーク制限のないユーザー、特権ロール、およびパブリックイングレスを許可するアカウントなどです。調査結果は組織レベルで表示され、監査のためにエクスポート可能である必要があります。

クロスカスタマー検出。再利用されたインフラ、漏洩した認証情報、異常なクライアント、偵察シーケンス、一時ステージの作成、および大規模なエクスポートは、キャンペーンシグナルを形成する可能性があります。プロバイダーはサービス層で検出し、可能性のある被害者に連絡し、高信頼度のアクティビティが一時的なブロックをトリガーするタイミングを定義する必要があります。

実用的なテレメトリ。顧客は、認証、クエリ、オブジェクト、ステージ、および転送の証拠を、アクティブな窃盗を封じ込めるのに十分な保持期間と低レイテンシで必要とします。より高忠実度の証拠は、サービスが最高影響のデータを保存する場所で正確に利用できなくなるべきではありません。

警告と調整。顧客アラートは既知の緊急ルートを通じて移動し、証拠を添える必要があり、単にログを確認するアドバイスではありません。プロバイダーは確認応答、封じ込め、および反復露出を追跡し、不確かな観測を確認された被害者数にまとめることなく、法執行機関および規制当局の要求をサポートする必要があります。

インシデント後の検証。発表された機能とデフォルトには、導入と効果の測定が必要です。Snowflake のその後のデフォルト MFA、漏洩パスワード無効化、Trust Center 調査結果、およびより強力なアイデンティティタイプへの変更は、観察された経路に対処しています。残りの説明責任の問いはカバレッジです。どのユーザーとクライアントが実際に保護されているか、どのような例外が残っているか、そして制御が実際またはシミュレートされた試行をどの程度の頻度で阻止するかです。

この配分は Snowflake をすべての顧客データセットのデータ管理者にするわけでも、プロバイダーをすべての顧客構成に責任を負わせるわけでもありません。それは、クラウド企業がデータを集中させ、セキュリティ境界を運用することで利益を得ることを認識しています。規模は、プロバイダーしか実行できない義務、特にクロス/テナント相関とベースラインエンジニアリングを生み出します。

後の訴訟は同じ境界をテストしているが、まだ解決していない

Snowflake と影響を受けた企業は、インシデント後に統合民事訴訟に直面しました。2025年10月29日の連邦裁判所命令で、モンタナ地区連邦地方裁判所は、金融機関の原告が Snowflake および Ticketmaster に対する特定の過失理論を、却下申し立てを生き残るために十分に主張したと判断しました。裁判所は、申し立てられたデフォルト MFA と予見可能性を、その手続き段階での注意義務、違反、および因果関係に関連するものとして扱いました。

その命令は、Snowflake または Ticketmaster が過失であったという裁判所の判断ではありません。却下申し立てでは、裁判所はよく訴えられた申し立てがもっともらしい請求を述べているかどうかをテストします。争われた証拠を解決したり、すべての原告の最終的なインシデントメカニズムを決定したり、損害賠償を割り当てたりするわけではありません。Snowflake は申し立てを争い、MFA、ネットワークポリシー、およびその他の保護手段を実装しなかった顧客の失敗が損害を引き起こしたと主張しました。この命令は、MFA を顧客設定として説明することが自動的にすべてのプロバイダー注意義務請求を終わらせないことを示すため重要です。これは最終的な本案記録の代わりにはなりません。

カナダのプライバシー調査は異なる配分をもたらしました。OPC は、Ticketmaster Canada が管理者であり、調査対象のエンティティであると述べ、オフィスは情報提供のために Snowflake に連絡したと述べました。これは一般的なプライバシー原則を反映しています。ストレージをアウトソーシングしても、管理者の保護および通知義務をアウトソーシングするわけではありません。サービスプロバイダーに独自の契約上、技術上、または法定上の義務がないという意味ではありません。

Snowflake 自身の10-K は多数の訴訟、規制調査、および議員の問い合わせを認めましたが、責任の最終的な普遍的な配分を報告しませんでした。発行日現在、ここでレビューされた公開情報源は、Snowflake が法的に免責された、すべての顧客が法的に過失があった、または最終的な裁判所または規制当局がこの記事の運用上の配分を採用したと宣言することを支持していません。

運用上の説明責任は、最終的な責任の前に評価できます。パスワードのみのアクセスは予見可能でしたか？ はい。顧客は MFA とネットワークポリシーを要求できましたか？ はい。Snowflake はデフォルトを設計し、クロスカスタマーアクティビティを検出できましたか？ はい。犯罪者は結果的にその経路を意図的に悪用しましたか？ はい。これらの命題は共存できます。不法行為法、契約法、プライバシー法、および証券法は、管轄区域と原告によって異なる結果を割り当てる可能性がありますが、エンジニアリングは1つのスローガンが勝つまで待つべきではありません。

測定可能な共有責任テスト

最も強力な対応は、「顧客」が一方で「プロバイダー」がもう一方にある別の図ではありません。それは、カバレッジと失敗動作を実証できる一連の制御です。

取締役会は、機能インベントリではなく成果を受け取るべきです。有用な測定には、フィッシング耐性 MFA で保護された人間ユーザーの割合、パスワード対応のサービスユーザーの数、すべての緊急時用例外の経過期間、テスト済みネットワークポリシーを持つアカウントの割合、有効期限を過ぎた特権請負業者アイデンティティの数、未知の発信元に関するアラートの中央時間、高信頼度セッションを停止する時間、およびフィールドレベルの露出パッケージを生成する時間が含まれます。

Snowflake は、顧客を露出させることなく集計進捗を公開する必要があります。CISA の誓約は、ユーザーおよび MFA タイプ別の導入統計を明示的に想定しています。MFA が利用可能であるという声明は、時間の経過に伴うパスワードのみのサインインの分布よりも情報量が少ないです。Trust Center が有効化されているという声明は、定義された期間を超えて未解決のままの重大な調査結果の数よりも情報量が少ないです。疑わしい顧客に通知されたという声明は、通知レイテンシと証拠パッケージの完全性よりも情報量が少ないです。

顧客は自らにも同じ厳格さを要求する必要があります。プロバイダーは、広範なロールを作成し、調査結果を無視し、古い請負業者ユーザーを維持し、緊急連絡先に誰も応答しない組織を救うことはできません。より強力なデフォルトの目的は、顧客セキュリティの所有権を Snowflake に移すことではありません。予測可能な省略が大規模なデータ窃盗になる可能性を低くすることです。

公開記録がまだ確立していないこと

証拠はキャンペーンパターンを再構築するのに十分強いですが、すべての被害者インシデントについてはそうではありません。

公開記録は、通知されたすべての組織を特定しておらず、165すべてが不正アクセスを受けたことを確認しておらず、影響を受けた個人、テーブル、記録、またはダウンロードされたバイト数のキャンペーン全体の最終合計を提供していません。どの被害者が身代金要求を支払ったか、または約束された削除が行われたかを示していません。

各組織のユーザータイプ、ロール階層、MFA 履歴、ネットワーク構成、エンドポイント所有者、セッションシーケンス、アクセスされたカラム、またはエクスポート量を公開していません。いくつかの調査からの請負業者デバイスの調査結果は、すべての被害者に割り当てられるべきではありません。79.7％の認証情報露出統計は、被害者のパーセンテージに変換されるべきではありません。

ソフトウェアの脆弱性、クロス/テナントエスケープ、Snowflake のプロダクションプラットフォームの侵害、プロバイダーのマスター認証情報の窃盗、またはすべての Snowflake 顧客へのアクセスを確立していません。サポートされているクライアントとコマンドの使用は認証情報乱用の証拠であり、製品コードが悪用された証拠ではありません。

リージョナルデータがすべてのインシデントで国境を越えたことを証明していません。アーキテクチャはリモートアクセスとローカルダウンロードを許可しました。法的移転分析には、各顧客の発信元、宛先、データ主体、契約、および管轄区域の事実が必要です。

Ticketmaster の可能性のあるフィールド、AT&T の通話詳細範囲、または犯罪フォーラムのカウントを他の顧客に一般化することはできません。Live Nation の提出書類は Snowflake に言及していません。AT&T の提出書類は Snowflake または UNC5537 に言及していません。外部の関連性はさらなる調査に関連する可能性がありますが、提出書類は実際に確立しているものについて引用されるべきです。

最後に、現在の Snowflake のドキュメントは、2024年4月および5月の制御の動作を証明していません。その後のデフォルト MFA、漏洩パスワード保護、Trust Center 検出、認証ポリシー、およびアイデンティティの変更は再発を減らす可能性がありますが、導入、例外カバレッジ、検出パフォーマンス、および独立した有効性の公開証拠は、機能の説明よりもはるかに限られています。

共有責任は、推奨が無視された瞬間を乗り越えなければならない

Snowflake キャンペーンは、2つの絶対的なストーリー間のコンテストとして最もよく理解されていません。1つのストーリーは、プラットフォームがハッキングされ、プロバイダーだけが失敗したと言います。証拠はそれを支持していません。もう1つは、顧客がパスワードを失ったため、プロバイダーの問題は終わったと言います。それは技術的に不完全です。

UNC5537 は、エンドポイント侵害とクラウド集中の間のスケーラブルな接合点を見つけました。過去のパスワードは有効なままでした。人間とサービスのアイデンティティは常に分離されていませんでした。MFA とネットワークゲートは欠如していました。サポートされているクエリとステージング機能はデータを迅速に移動させました。プロバイダーはテナント間のパターンを見ることができましたが、各顧客は自分のアカウントだけを見ることができました。選択されたストレージリージョンは、認証されたセッションが別の場所で制御不能なコピーを作成している間でも、ソースデータをその場に保持できました。

顧客は、ユーザー、ロール、エンドポイント、請負業者、およびデータを管理する最も明確な義務を持っていました。Snowflake は、サービス境界を保護および監視し、高価値の保護を容易かつますます回避不可能にし、キャンペーン行動を検出し、証拠を提供する最も明確な義務を持っていました。攻撃者は犯罪行為に対して直接責任を負っていました。規制当局と裁判所は、各組織に適用される事実と法律に基づいて法的義務を評価する必要があります。これらの配分は、制御が重複するため、重複します。

キャンペーン後の製品方向性は、能力と成果の間のギャップを暗黙のうちに認識しています。新しい人間ユーザーに対するデフォルト MFA、漏洩パスワード無効化、より強力な認証ポリシー、サービスユーザー移行、および Trust Center 調査結果は、セキュリティをプロバイダーのベースラインに近づけます。それらは顧客の責任を消し去るものではありません。それらは、共有システムが、盗まれたパスワードがテストされる前にすべての管理者がすべての正しいオプションを見つけて有効化することに依存する度合いを低くします。

それがクラウドデータプラットフォームのための永続的な説明責任テストです。顧客が警告を見逃し、請負業者のデバイスが感染し、認証情報が有効なままであり、攻撃者が通常の製品機能を使用することを想定してください。そして、デフォルトがログインをブロックするか、別のゲートが発信元を拒否するか、ロールがほとんど明らかにしないか、エクスポートが介入をトリガーするか、証拠がタイムリーに顧客に届くかを問います。共有責任は、片方の予測可能なミスの後でもサービスが防御可能であり、両当事者がその前後に何をしたかを証明できる場合にのみ信頼できます。