要約

  • Connor Riley Moucka は、2024年2月から10月の活動を巡り、コンピューター詐欺、通信詐欺、加重個人情報窃盗、関連共謀の4罪で有罪を認めた。
  • 米司法省によると、盗まれたログイン情報で、社名非公表の米 SaaS 企業の少なくとも165顧客が持つクラウド上のデータに侵入した。
  • 数十億件の記録と数テラバイトの情報が窃取され、被害企業の顧客は少なくとも1億人に上る。
  • 身代金収入は250万ドル超、Moucka の個人取得額は少なくとも49万5,000ドル、被害企業の直接損失は950万ドル超だった。
  • Mandiant は約165組織への2024年の活動を Snowflake 顧客インスタンスと結び付けたが、Snowflake 企業環境の侵害を示す証拠は確認しなかった。
  • 量刑は2026年10月27日の予定であり、有罪答弁だけでは被害回復、盗難データの流通、各顧客の統制改善は完了しない。

司法記録とインシデント記録は重なるが同一ではない

司法省は対象の SaaS 事業者を名指ししていない。Snowflake という名称も、基盤の脆弱性も、同社自身のネットワーク侵害も答弁内容として公表していない。したがって、司法省が Snowflake を特定したかのように書くことはできない。

関連性は別の一次記録から生じる。Mandiant は2024年6月、Snowflake と共同で約165の潜在的被害組織へ通知したと報告した。司法省が今回示した SaaS 顧客数、2024年2～10月という期間、窃取情報の種類は強く重なる。Snowflake を運用上の対象として分析する根拠にはなるが、裁判上の明示的認定に置き換える根拠にはならない。

有罪答弁が確定するのは一人の責任である

Moucka は4つの犯罪事実を認めた。本人については、単なる起訴上の主張から責任の承認へ法的状態が変わった。ただし、その効果は個人ごと、罪名ごとに区切られる。別の関係者の未決事項や、UNC5537 を巡って公表されたすべての帰属を一括して確定するものではない。

次の時計は10月27日の量刑である。加重個人情報窃盗には最低2年の拘禁が義務付けられ、その他の罪には最大30年があり得る。最大刑は予測値ではない。判事の判断、賠償、没収、損失負担の確定はこれからである。

攻撃者が通過したのは顧客の認証境界だった

Mandiant が対応した事案では、アクセスは顧客の漏えい認証情報に遡った。情報窃取マルウェアに感染した端末は Snowflake 所有ではなく、過去に盗まれた ID とパスワードが顧客インスタンスで生き続けていた。攻撃に使われたアカウントの少なくとも79.7％には以前の漏えい履歴があり、最古の関連感染は2020年11月だった。

多要素認証の不使用、長期間有効なままのパスワード、信頼できる接続元に絞るネットワーク許可リストの欠如が重なった。古い秘密情報が現在のデータを開く鍵になったのである。「クラウドが破られた」という表現では、修正すべき制御点が見えなくなる。

165、数十億、1億は別々の母数を持つ

165は侵害された SaaS 顧客組織、数十億はデータ記録、1億は被害企業が抱える最終顧客の人数である。250万ドル超は共謀者全体の身代金収入、49万5,000ドルは Moucka の最低個人所得、950万ドル超は企業側の直接損失で、最終顧客の損失を含まない。

これらを一つの被害者数や Snowflake の損失として足し合わせると、責任と影響の配置を誤る。一人が複数記録に現れ、一つの顧客企業が何百万人分のデータを保有し得る。SaaS 事業者、テナント、データ主体、保険会社には異なる費用が生じるため、分母を維持したまま読む必要がある。

古い認証情報が換金可能な在庫になった

情報窃取ログは、感染時点で価値を失わない。パスワードが変更されず、アカウントが閉鎖されず、第二要素が要求されなければ、数年後でも利用できる。攻撃者は大量の漏えい情報を低コストで試し、大規模データを開ける少数の成功アカウントへ労力を集中できる。

防御側は漏えい監視とアクセス制御を接続しなければならない。検知した認証情報の即時失効、セッション無効化、耐フィッシング MFA、サービスアカウントと委託先 ID の棚卸し、接続元制限、大量クエリやエクスポートの検知が一つの運用系になる必要がある。既知のパスワードを受け入れ続ける状態は、監視製品の追加では相殺できない。

共同責任は例外数まで測って初めて機能する

SaaS 事業者は認証機能、ログ、安全な既定値、強制手段を提供する。顧客は権限、例外、委託先、警報対応を管理する。さらに ID 事業者も介在する。各社が「機能はある」と説明するだけでは、実際の適用範囲は分からない。

必要なのは、人とサービスアカウントの MFA 適用率、期限超過認証情報数、インターネットから到達できる特権 ID、漏えい検知から失効までの時間、エクスポート監視の閾値、退職・契約終了時の全経路閉鎖率である。統制は有無ではなく、母数と例外で評価される。

刑事責任の確定と運用終結は別の出口である

答弁は、不正アクセスが恐喝と収益に変わった経路を確定させた。しかし、盗まれた全コピーが消えたこと、転売が止まったこと、対象者への通知が完了したこと、全テナントが設定を修正したことは示していない。最終顧客の損失も950万ドルの企業損失には入っていない。

司法上の終結は量刑と賠償へ進む。運用上の終結は、過去の認証情報が再利用できず、テラバイト規模の持ち出しが完了前に見えることを証明しなければならない。二つの出口を混同すれば、事件が終わったという誤った安心を生む。

情報源