Snowflake の資格情報窃取キャンペーンと共有責任の限界

概要

• 確認されたキャンペーンの境界:Mandiant は、金銭目的のキャンペーンを UNC5537 に帰属させ、同社が直接処理したすべてのキャンペーンインシデントは、侵害された顧客の認証情報に起因すると述べた。不正な顧客アクセスが Snowflake のエンタープライズ環境の侵害から生じたという証拠は見つからなかった。Snowflake も同様に、自社プラットフォームの脆弱性、設定ミス、侵害がこの活動を引き起こしたという証拠は見つからなかったと述べた。
• 観測された制御連鎖:侵害されたアカウントには多要素認証がなく、過去の情報窃取マルウェアの記録から流出した認証情報が保持され、ネットワーク許可リストもなかった。その後、攻撃者はサポートされている Snowflake クライアントと SQL 操作を使用してデータを列挙し、ステージングし、圧縮してダウンロードした。約165の組織が潜在的に被害を受けたとして通知されたが、これは侵害、個人、記録の確定数ではない。
• 共有責任に関する知見:顧客はユーザー、ロール、パスワードローテーション、MFA 登録、ネットワークポリシー、エンドポイントの衛生状態、データ最小化を管理していた。Snowflake は、どの保護機能が存在し、それらがどのように提供・デフォルト設定されるか、プラットフォームが顧客横断でどのようなシグナルを確認できるか、警告やより強固なベースライン動作がどれだけ迅速に導入顧客全体に届くかを管理していた。これらの責任は同時並行的であり、相互排他的ではない。
• データ主権に関する知見:Snowflake リージョンを選択すると、アカウントのストレージとコンピューティングの配置場所が決まるが、Snowflake のドキュメントはユーザーアクセスを制限するものではないと明示している。本キャンペーンでは、有効な ID があれば、リージョンに保存されたデータセットをダウンロードコピーに変えることができた。ID、外部転送、証拠管理を伴わないデータの所在地は、単なる配置決定に過ぎず、完全な主権管理ではない。

プラットフォームの侵害は示されなかったが、サービス関係が試された

このケースで最初に必要なのは用語の定義である。Snowflake の顧客インスタンスは、Snowflake 自身の企業環境や共有本番プラットフォームと同じものではなかった。有効な認証情報を持つ者が、他のテナントに侵入したり、ソフトウェアの脆弱性を悪用したり、プロバイダーの管理者アカウントを取得したり、顧客を分離するインフラストラクチャを破壊したりすることなく、特定の顧客アカウントに侵入することが可能だった。公開されている証拠は、顧客アカウントの侵害を支持しており、プラットフォーム全体の技術的侵害を支持するものではない。

Mandiant のUNC5537 キャンペーン報告書は、この点について異例なほど率直である。Mandiant が直接処理した本キャンペーンに関連するすべてのインシデントについて、根本原因は侵害された顧客の認証情報であった。また、顧客アカウントへの不正アクセスが Snowflake の企業環境の侵害に起因するという証拠は見つからなかった。Snowflake 自身の調査およびセキュリティ強化通知でも、標的となった顧客アカウントを本番プラットフォームから分離し、顧客自身が自社環境を調査するためのクエリと指標を提供した。CISA は2024年6月3日のアラートでそのガイダンスを増幅した。

この否定的な調査結果は重要である。この出来事を Snowflake プラットフォームの侵害と呼ぶことは、共有コードやインフラストラクチャの欠陥がすべてのテナントを開放したか、Snowflake が顧客を解放するマスター認証情報を失ったことを示唆する可能性がある。検証された記録はそのいずれも立証していない。また、顧客が直ちに取るべき行動、すなわちパスワードのみのユーザーを特定する、認証情報をローテーションする、ログイン履歴とクエリ履歴を精査する、ネットワークを制限する、ロール権限を削減する、証拠を保全する、といった行動を不明瞭にするおそれもある。

反対の誤りは、プラットフォーム侵害がないことを、プロバイダーの説明責任の問題がないこととして扱うことである。クラウドサービスは、顧客がたまたまデータを置くだけの中立的なディスクではない。Snowflake は、認証情報を受け付ける認証エンドポイント、攻撃者が使用したインターフェース、コマンドを処理したクエリエンジン、セッションを記録したテレメトリ、そして第二要素を要求したりネットワークの起点を制限したりする可能性があった製品管理機能を構築し、運用していた。また Snowflake は、個々の顧客が持ち得ない、顧客横断的な可視性も有していた。決定的な管理策が顧客によって設定可能であったという事実は、運用上の設定義務が誰にあったかを決定する。しかし、プロバイダーのデフォルト設定、警告、検出、執行が、同サービス上のデータ集中の度合いに見合っていたかどうかには答えていない。

Snowflake の2025会計年度Form 10-Kは、同社の立場を正式に表明している。そこでは、Snowflake はプラットフォームと基盤となるクラウドインフラストラクチャのセキュリティに責任を負い、顧客は自社環境の管理策を選択・設定すると述べている。2024年5月のアクセスは、MFA やネットワークポリシーなどの義務を顧客が履行しなかったことに起因するとしつつ、訴訟、規制当局の調査、議員の照会、風評被害、補償請求紛争の可能性を記録している。これは、Snowflake の表明したモデルと事業上のリスクに関する重要な企業証拠である。全ての責任や法的請求が顧客側にあるという独立した裁定ではない。

したがって、有用な問いは「誰が侵害されたのか」よりも狭く、「誰のパスワードが盗まれたのか」よりも広い。それは、盗まれた秘密情報からダウンロードされたデータに至る各段階において、どの主体がその行動を防止、検出、遮断、再構築、警告できたのか、ということである。説明責任は、それらの段階に対する管理権限に従う。

本キャンペーンは旧来のエンドポイント窃取を現在のクラウド権限に結びつけた

Mandiant は、後に被害者の Snowflake インスタンスに辿られたデータベース記録に関して、2024年4月に最初の脅威インテリジェンスを入手した。その被害者は Mandiant に調査を依頼し、Mandiant は侵入者が情報窃取マルウェアによって以前に盗まれた認証情報を使用したと結論づけた。該当するアカウントは MFA が有効になっていなかった。5月22日、より広範なキャンペーンを示す情報を特定した後、Mandiant は Snowflake に連絡し、潜在的な被害者への通知を開始した。Snowflake は5月30日に顧客向けの検出およびセキュリティ強化ガイダンスを公開した。6月の報告書までに、Mandiant と Snowflake は約165の組織に潜在的な被害の可能性があるとして通知を行った。

この最後の文のすべての用語は、誇張から保護される必要がある。「約」は推定値を示す。「潜在的に被害を受けた」は通知対象集団を表すものであり、165件の法医学的調査の結果ではない。「組織」は、アカウント、データベース、人数、記録数を意味しない。一部の組織は複数の Snowflake アカウントを運用している可能性があり、1つのアカウントがはるかに大きな集団のデータを保持している可能性もある。報告書は、確定した組織数、影響を受けた個人、エクスポートされたバイト数、または恐喝支払いに関するキャンペーン全体の合計を提供していない。

認証情報の履歴は、2024年のクラウドログインが何年も前のエンドポイント感染から始まる可能性がある理由を説明している。Mandiant は、UNC5537 が使用した認証情報のほとんどが過去の情報窃取マルウェアの出力に存在し、最も古い関連感染は2020年11月に観測されたことを発見した。当該攻撃者が悪用したアカウントの少なくとも79.7％に、過去の認証情報流出があった。この割合は、分析されたキャンペーンにおいて攻撃者が使用したアカウントに適用されるものであり、すべての Snowflake 顧客や165の通知対象組織に当てはまるものではない。

流出した秘密情報が有効なアクセスへと転換された背景には、繰り返し見られた3つの条件があった。影響を受けたアカウントには MFA が設定されていなかった。情報窃取マルウェアの記録から見つかったパスワードは、時には何年も有効なままだった。影響を受けた顧客インスタンスには、信頼できる接続元に制限するネットワーク許可リストがなかった。これらの条件はいずれも新奇なエクスプロイトではない。これらが組み合わさることで、アカウントロケーター、ユーザー名、そして依然有効なパスワードを知り、攻撃者が管理するシステムから接続し、セッションを受信し、割り当てられたロールを継承し、そのロールが読み取り可能なあらゆるデータをクエリするという、持続的な認可経路が形成された。

エンドポイントの側面も、従来の社員ラップトップという物語が示唆する以上に分散していた。複数の調査において、Mandiant は、ゲームや海賊版ダウンロードを含む個人的な活動にも使用されていた請負業者のシステム上で、より以前の情報窃取マルウェア感染を発見した。請負業者のデバイスは、顧客が管理するエンドポイント群の外にありながら、複数のクライアントの認証情報を保持し得る。また、専門の請負業者はデータプラットフォームの構築・運用のために雇われることが多いため、管理者アカウントを保持している可能性もある。ユーザーを作成した顧客は、その ID と特権に依然として責任を負うが、流出は顧客自身のエンドポイントツールからは不可視かもしれない。

これはクラウド依存の乗数効果である。認証情報は、おそらく Snowflake やデータ所有者の管理下にない単一のエンドポイントから盗まれる。その認証情報はグローバルなサービスに受け入れられる。そのロールは、複数のビジネスシステムからの長年にわたる記録を含む統合データウェアハウスに到達し得る。攻撃者はもはや、それらのソースシステムを一つずつ侵害する必要はない。そのデータウェアハウスを顧客にとって有用にした分析価値は、アクセスの成功を恐喝者にとっても価値あるものにした。

攻撃者は、認証情報を盗み、購入し、テストし、使用し、許可なく顧客環境に侵入し、データを取得し、販売または恐喝を試みたことについて直接的な責任を負う。これらの犯罪を可能にした管理上の欠陥を記述することは、その責任を希釈化するものではない。それは、同じ犯罪手法がなぜ大規模に成功したのか、そして再発をどこで減らせるのかを説明するものである。

サポートされている機能がデータ流出経路となった

本キャンペーンは認証だけに留まらなかった。Mandiant は、Snowsight、SnowSQL、ドライバー、およびデータベースツールを介したアクセスを観測した。攻撃者はユーザー、ロール、セッション、組織名、データベース、スキーマ、テーブルを列挙した。SELECT などの通常の SQL 操作を使用してデータを選択し、一時ステージを作成し、クエリ出力を圧縮ファイルにコピーし、それらのファイルをローカルマシンに取得した。複数のケースで、異なる顧客環境にわたって類似のコマンドが見られた。

この一連の流れは、不正な ID の下で通常の機能が使用されたことを明らかにする。

1. 有効な顧客ユーザー名とパスワードがセッションを確立した。
2. そのセッションは、顧客によって割り当てられたロールとオブジェクト権限を継承した。
3. 偵察活動により、価値あるテーブルと利用可能なステージが特定された。
4. クエリは、そのロールが読み取り許可されているレコードを選択した。
5. 一時的なステージングとCOPY INTOにより、結果がダウンロード可能なファイルに変換された。
6. GETにより、ファイルが攻撃者の管理するクライアントに移動された。

この連鎖のいずれの段階でも、データベースの誤動作は必要なかった。このため、保存データの暗号化は、必要ではあるものの、決定的な管理策ではなかった。Snowflake のエンドツーエンド暗号化に関するドキュメントでは、顧客データは保存時に暗号化され、転送中は TLS で保護されると述べているが、データは変換やテーブル操作の実行中に復号され、ユーザーは結果をアンロードしてダウンロードすることが許可されているとも説明している。暗号化は、認可や鍵を持たない者からファイルや転送を保護する。受け入れられた ID と許可されたロールが、読み取り可能な結果を返すようにサービスに要求することを防ぐものではない。

同様の原則は顧客管理の鍵にも当てはまる。鍵管理は、プロバイダー、ストレージ、失効のシナリオに対処できるが、実行中のアカウントは許可されたクエリを処理するために鍵階層を使用しなければならない。鍵ポリシーが、セッションや操作を拒否する別個の決定に結びついていない限り、データベースは、アカウント所有者と、所有者が設定した認証ポリシーを満たした侵入者とを区別できない。

したがって、ロール設計がログイン後の影響範囲を制御していた。Snowflake の現在のアクセス制御モデルは、ロールベースおよび裁量的なアクセス制御、所有権、ロール階層、オブジェクト権限をサポートしている。狭いデータベースやビューだけに割り当てられた認証情報は、ACCOUNTADMIN、広範なウェアハウス使用権、または生データセットに対する選択アクセスを持つ認証情報とは異なる結果をもたらす。統合に使用されるサービスアカウントは、人間の管理者の探索的なアクセス範囲を継承すべきではない。請負業者の一時的なロールは、エンゲージメントの終了とともに期限切れになるべきであり、有効なパスワードとともに休眠状態のまま放置されるべきではない。

ロールが侵害された場合でも、データ保護ポリシーは結果を限定できる。Snowflake の機密データ分類ドキュメントは、個人情報や機密性の高い列の発見をマスキングや行アクセスポリシーと結びつけている。これは現在の機能の説明であり、2024年において影響を受けたすべての顧客がデータを分類またはマスキングしていたという証拠ではない。これは設計上の問いを提起する：顧客は、集計データ、最近のパーティション、トークン化されたフィールド、または承認されたビューのみを必要とする ID に、完全な履歴テーブルを露出させていたのか？

エクスポート自体が特権的なビジネス機能であり、そのように管理されるべきである。データウェアハウスは、正当なパイプライン、バックアップ、モデルトレーニング、下流システムのために一括アンロードを必要とすることが多い。全面禁止は現実的ではないことが多い。しかし、ステージの作成、異常に大きな結果のアンロード、または見慣れないクライアントやネットワーク起点の使用は、観測可能であるべきであり、高リスクのデータセットについては、承認、レート制限、宛先制限、短期間の権限昇格、または別個のエクスポートロールが正当化される可能性がある。キャンペーンのコマンドは実行するのに十分に正常であったが、コンテキストにおいては迅速なセキュリティ判断に値するほど異常であった。

顧客が設定を所有し、Snowflake がベースラインを所有した

MFA は、両者が真の事実を述べることができるため、最も鋭い共有責任の試金石である。顧客管理者はそれを有効にすることができ、また有効にすることが期待されていた。Snowflake は2015年から MFA を、2016年からネットワークポリシーを提供していた。同時に、攻撃が成功した2024年のアカウントは MFA なしで認証できた。これは、サービスが実質的にそれらのアカウントに対してパスワードのみの経路を許可していたことを意味する。

利用可能性と強制の違いは意味論的なものではない。セキュリティ機能は、無料で、文書化され、推奨されていても、重要なセッションには依然として存在しない可能性がある。管理者は、古い統合、非対話型のサービスユーザー、請負業者、緊急用アカウント、複数のクライアント、ロックアウトの恐れに直面する。これらの制約は導入の摩擦を説明するが、特権的な人間のアクセスを再利用可能なパスワードに依存したままにすることを正当化するものではない。また、これらはプロバイダーに対し、移行ツールを構築し、人間の ID とサービス ID を分離し、例外を明示的にするために必要な情報を提供する。

キャンペーン後、Snowflake の公の方向性は推奨からより強力なデフォルト設定へと移行した。2024年7月のSecure by Design の誓約発表では、MFA ポリシー管理と Trust Center チェックが強調された。2024年9月、Snowflake は、2024年10月以降に作成されたアカウントの人間のユーザーに対してMFA がデフォルトで強制されると発表し、人間に対しては IdP MFA 付きの SSO、サービスに対しては OAuth またはキーペア認証を推奨した。新規アカウントと既存アカウントの区別は重要である。安全なデフォルトは将来の作成を保護するが、既存の顧客基盤におけるすべての継承されたパスワード経路を自動的に除去するわけではない。

Snowflake は後にLeaked Password Protectionを導入した。これは脅威インテリジェンスフィードを使用して、報告された流出パスワードをプライバシー保護プロセスでテストし、依然として有効であることが確認されたパスワードを無効にする。このプロバイダー側の管理策は、UNC5537 の利点の一つ、すなわち依然として使用可能な古い情報窃取マルウェアの認証情報に直接対処するものである。これはまた、共有責任が進化し得ることの証拠でもある。顧客は依然として ID とローテーションを管理しなければならないが、プロバイダーは顧客横断のインテリジェンスを使用して、各顧客が独自に発見する前に盗まれたパスワードを機能停止させることができる。

現在の認証ポリシードキュメントでは、管理者は許可された方法とクライアントを制御し、アカウントまたはユーザーレベルで MFA を要求できる。また、クライアントタイプの制限はベストエフォートであり、セキュリティの唯一の境界とすべきではないと警告している。現在のキーペア認証ガイダンスは、サービスユーザーに静的パスワードの代替手段を提供する。これらのページは2026年までに利用可能な機能を説明しており、2024年4月時点の全顧客の正確な機能、デフォルト、強制状態の証明として遡及的に読むべきではない。

標準規格は、プロバイダーのデフォルトが分析に含まれるべき理由を説明するのに役立つ。NIST の現在の認証および認証器管理ガイダンスは、パスワードをリプレイ耐性がないものとして扱い、フィッシング耐性をユーザーの警戒に依存しないプロトコル特性として定義している。2024年のCISA Secure by Design 誓約は、デフォルト MFA、永続的な製品ナッジ、ベースライン SSO サポート、採用メトリクスの公開を、ソフトウェアメーカーが MFA 利用を測定可能に増加させる方法として具体的に特定している。Snowflake はキャンペーン後にこの自発的誓約に署名した。この誓約は Snowflake の2024年の設計に関する法的判断ではないが、チェックボックスを提供するだけでプロバイダーの役割が尽きるという考えを否定している。

説明責任のあるベースラインは、ID タイプを区別する。人間の管理者はフィッシング耐性のある MFA または強固に管理された連携 ID を使用すべきである。サービスワークロードは、ロボットがプッシュ通知に応答できると見せかけることなく、スコープ設定、ローテーション、帰属が可能なワークロード認証情報を使用すべきである。緊急用アクセスは、稀であり、監視され、期限付きで、テストされるべきである。請負業者の ID には、所有者、有効期限、承認されたデバイスポスチャ、およびクライアント間の認証情報再利用禁止が必要である。すべての例外は、分母が全 ID（アクティブな従業員のみではない）であるダッシュボードに表示されるべきである。

ネットワークポリシーは第二の関門であり、ID の代替ではない

Mandiant が挙げた3つ目の繰り返し要因は、ネットワーク許可リストの欠如であった。したがって、有効な認証情報は、顧客のウェアハウスに到達する業務上の理由がないインフラストラクチャから使用される可能性があった。ネットワーク制限は盗まれたパスワードを修復しないが、信頼できない起点からのパスワードを不十分にすることができる。

Snowflake の現在のネットワークポリシードキュメントは、デフォルトを明示している。ポリシーがない場合、ユーザーは任意のコンピューターまたはデバイスから接続できる。顧客は、IP 範囲やプライベートエンドポイントを許可またはブロックしたり、アカウントまたはユーザーレベルで管理策を適用したり、追加設定で内部ステージアクセスを制限したりすることができる。プライベート接続とパブリックアクセス制御は、高機密性のアカウントをさらに強化できる。

顧客は自社の承認されたオフィス、クラウドワークロード、VPN、請負業者、統合エンドポイントを知っているため、顧客が使用可能な許可リストを定義しなければならない。Snowflake は、ビジネスを中断させることなくすべての正当な起点を推測することはできない。しかしプロバイダーは、デフォルトの到達可能性、ポリシー構文、変更のシミュレート能力、ロックアウト保護、ログ記録、アカウントポリシーが存在しない場合に管理者に警告が表示されるかどうかを管理している。プラットフォームは、顧客の選択を維持しながら、無制限のパブリックアクセスを静的な定常状態ではなく、可視化され期限付きの例外にすることができる。

ネットワークルールにも限界はある。攻撃者は、承認された請負業者のデバイスからセッションを取得したり、許可された企業 VPN を経由してルーティングしたり、許可されたクラウド内のワークロードを侵害したり、認証後にトークンを盗んだりする可能性がある。大企業では、静的リストを困難にする変化するエグレスアドレスを持つ場合がある。プライベート接続は、それをサポートしない SaaS ツールを除外する可能性がある。これらはネットワーク管理策を強力な ID と行動検出と組み合わせる理由であり、省略する理由ではない。

このキャンペーンは、独立した関門の価値を示している。パスワードローテーションは過去の認証情報を無効にしただろう。MFA は別の要素を要求しただろう。ネットワークポリシーは未知の起点を拒否しただろう。最小権限は可視データを削減しただろう。エクスポート管理はステージングを中断しただろう。検出は滞留時間を短縮しただろう。単一の対策は完璧ではない。攻撃者は、複数の対策が同時に欠如または許容的だった場合に成功した。

説明責任のためには、各関門には所有者と有効性の尺度が必要である。「ネットワークポリシーがサポートされている」は製品の事実である。「すべての本番アカウントが、サービスと内部ステージをカバーするテスト済みのポリシーを持っている」は運用上の成果である。「MFA が利用可能」は製品の事実である。「特権的な人間が再利用可能なパスワードだけでセッションを確立できない」は成果である。共有責任は、両当事者が自らの境界における成果を示せる場合にのみ意味を持つ。

プロバイダーはキャンペーンを見たが、各顧客はインシデントしか見られなかった

個々の顧客は、自社の失敗および成功したログイン、クライアント、IP アドレス、クエリテキスト、ロール、ステージ、データ移動を検査できた。Snowflake は、アカウント横断でパターンを相関付けることができた。同じインフラストラクチャ、異常なクライアント、繰り返される偵察、類似したステージングコマンド、パスワードのみのログインの急増、脅威インテリジェンスフィードと一致する認証情報などである。この非対称性は、プロバイダーの最も重要な非契約的責任である。これは、規模でサービスを運営することによって生じる。

Snowflake の現在のLOGIN_HISTORY ビューは、最大1年間のログイン試行を保持し、ユーザー、発信元 IP、報告されたクライアント、第一および第二認証要素、成功、関連するリスク詳細を含み、文書化されたレイテンシがある。QUERY_HISTORYは、最大1年間のクエリアクティビティを保持し、クエリを認証イベント、セッション、ユーザー、ロール、テキスト、結果のバイト数、アンロードされた行数、ネットワーク経由で送信されたバイト数に結びつける。エンタープライズ顧客はACCESS_HISTORYを使用して、アクセスされたテーブル、ビュー、列、ステージ、ポリシー、変更されたオブジェクトを再構築できる。これらのスキーマは、質の高い調査のための原料を提供する。

生の履歴は検出と同じではない。顧客はアナリストにアクセス権を付与し、データをエクスポートまたはクエリし、通常の動作を理解し、アラートを作成し、それらをルーティングし、必要に応じてネイティブの保持期間を超えて保持し、対応スタッフを配置しなければならない。2時間のテレメトリレイテンシは、遡及的なレビューには許容されるかもしれないが、一部の一括エクスポートの決定には遅すぎる可能性がある。列レベルのアクセス履歴に関する Enterprise Edition の境界も、顧客が被害範囲をどれほど正確に特定できるかに影響し得る。これらの製品と運用上の事実は、窃取の後に発見されるのではなく、調達時にテストされるべきである。

Snowflake の現在のTrust Centerは、MFA 登録、アカウントネットワークポリシー、特権ロール、休眠ユーザー、危険なサインイン、異常な IP アドレス、セキュリティおよび脅威インテリジェンススキャナを介した大量のデータ転送をチェックする。現在のドキュメントは、いくつかのパッケージを有効にする必要があること、一部の検出は1時間以内に到着する可能性があること、設定されたポリシーの存在はその内容が意図した目的を達成することを証明するものではないこと、などの制限も述べている。ここでも、現在の機能は、特定の顧客や Snowflake が2024年春に何を検出したかの証拠ではない。これは、顧客横断的な障害パターンが理解された後に、プロバイダーが何を製品化できるかを示している。

警告システムは2つの層で動作すべきである。テナント層では、顧客は即時のエクスポート可能なイベントと、アクティビティをブロックまたは停止する管理策を必要とする。プロバイダー層では、Snowflake はキャンペーン分析と、行動に移すのに十分な証拠を添えて顧客に通知する訓練されたプロセスを必要とする。有用な通知には、アカウントおよびユーザー識別子、UTC のタイムスタンプ、送信元インフラストラクチャ、認証要素、セッションおよびクエリ ID、コマンド、影響を受けたオブジェクトと列、ステージングアクション、推定転送量、封じ込め状況、確信度が含まれる。「潜在的に被害を受けた」は、潜在性を解決するために必要な証拠がその後に続く場合にのみ、適切な冒頭ラベルである。

プロバイダーの介入にもガバナンスが必要である。顧客セッションを自動的にブロックすることは、本番環境を中断させる可能性があり、プロバイダーの契約上の権限を超える可能性がある。行動しないことは、窃取の継続を許す可能性がある。したがって、設計はリスク閾値、一時的な保留、顧客エスカレーションチャネル、緊急連絡先、迅速な上書きプロセスを事前に定義すべきである。顧客は、いつでも重大度の高いアラートを受信し、停止を許可できる人物を指名すべきである。プロバイダーは、顧客横断シグナルから顧客への連絡までの時間、封じ込めまでの時間、完全な証拠パッケージを取得できる通知済み顧客の割合を測定すべきである。

データの所在地はアクセスをローカルにしなかった

Snowflake は、顧客がレイテンシ、回復力、プライバシー、規制、主権の要件を持つため、リージョンデプロイメントをマーケティングし、文書化している。Snowflake のサポートされているリージョンに関するドキュメントは、各アカウントが1つのリージョンでホストされ、ユーザーが明示的にコピー、移動、またはレプリケートしない限り、データはそのリージョンに留まると述べている。同じページには重要な制限事項が含まれている。リージョンはデータが保存され、コンピューティングがプロビジョニングされる場所を規定するが、ユーザーの Snowflake へのアクセスを制限するものではない。

この区別は、UNC5537 の連鎖を主権のケースに変える。侵入前は、顧客のテーブルは選択された国または地域のクラウドロケーションに保存され、処理されていた可能性がある。認証が成功した後、攻撃者は他の場所からリージョンアカウントにクエリを実行し、結果をステージングし、クライアントにダウンロードすることができた。Mandiant は、一時ステージからのローカルな取得という技術的パターンを観測した。公開されているキャンペーンの記録は、すべての被害者の発信元国、宛先国、法的な転送状況を確立していないため、違法な越境データ転送の普遍的主張は支持できない。しかし、このアーキテクチャは、ストレージの所在地だけではユーザーの所在地を強制できなかったことを示している。

リージョン間の共有とレプリケーションは、別個の正当な移動経路を作り出す。Snowflake のリージョン間共有ガイダンスは、データを異なるリージョンや国にレプリケートする前に、法的および規制上の制限を確認するよう組織に指示している。これは顧客管理の下での計画的な移動である。認証情報駆動型のエクスポートは異なる。それは、ソースアカウントの場所を変更することなく、選択された環境外に制御不能なコピーを作成する可能性がある。ソースリージョンのみを記録するデータ目録は、攻撃者がコピーを削除した後でも「EU」や「カナダ」と表示し続けるだろう。

したがって、データ主権には少なくとも4つの層がある：

• 配置：正規のストレージおよびコンピューティングリソースがプロビジョニングされる場所。
• アクセス：どの人間およびマシン ID が、どのデバイス、ネットワーク、管轄区域から接続できるか。
• 移動：どのクエリ、アンロード、共有、レプリケーション、コネクタ、ダウンロードが別のコピーを作成できるか。
• 証拠と救済：組織がアクセスがどこから発生したか、何が流出したか、どの個人または規制対象レコードが関与したか、どれだけ迅速に封じ込めと通知を行えるかを証明できるか。

プロバイダーは、顧客がポリシーを選択する場合でも、これら4層すべての重要な部分を管理する。プロバイダーはリージョンを提供し、その中にアカウントデータを保持する。リクエストを認証し、ネットワーク管理策を公開する。エクスポートコマンドを実行し、クエリメタデータを記録する。顧客横断の脅威可視性を保持し、流出したパスワードを無効にできる。顧客は、法的根拠、データカテゴリ、ロール、許可された起点、マスキング、保持、承認された移動を決定する。これらの補完的な管理策を伴わないリージョナルホスティングのコミットメントは、狭いデータセンターの所在地要件を満たす一方で、データをグローバルにコピーする実質的な権限を露出させたままにする可能性がある。

これはまた、暗号化と主権を混同すべきでない理由でもある。暗号化は、保存されたオブジェクトをインフラストラクチャオペレーターや認可されていないストレージ層の読み取り者から保護できる。オブジェクトを分析しなければならないアプリケーションは、必然的に認可されたクエリコンテキストにデータを利用可能にする。ID 保証とロールスコープが弱い場合、暗号学的な所在地は運用上の流出と共存し得る。

顧客の開示は、異なる結果を示し、単一の侵害ではない

このキャンペーンは、しばしば著名な顧客名を通じて説明されるが、各顧客の公開記録には独自の範囲、日付、データ、用語、確信度がある。ある企業の事実を別の企業に転嫁したり、犯罪フォーラムの主張を検証済みの母集団に変換したりすることは安全ではない。

Live Nation の2024年5月31日付Form 8-Kは、5月20日に主に Ticketmaster からの企業データを含むサードパーティのクラウドデータベース環境で不正な活動を特定したと述べている。5月27日に犯罪者が企業ユーザーデータと称するものを販売のために提供し、Live Nation は適宜、法執行機関、規制当局、ユーザーに通知していると述べた。この提出書類は Snowflake を名指ししておらず、確認された影響者数を提供しておらず、認証経路も説明していない。

Ticketmaster Canada のインシデントページは、異なる詳細レベルを提供している。サードパーティのデータサービスプロバイダーがホストする分離されたクラウドデータベースへの不正アクセスがあったと説明し、そのデータベースには一部の北米のチケット購入者の限定的な個人情報が含まれており、可能性のあるフィールドとしてメールアドレス、電話番号、暗号化されたカード情報、顧客から提供されたその他の情報が含まれると列挙している。Ticketmaster の顧客アカウントは影響を受けなかったとも述べている。後者の境界は重要である。バックエンドのデータウェアハウスの侵害は、攻撃者が各個人の Ticketmaster ログインを取得した、または消費者アカウントを通じて取引できることを証明するものではない。

カナダプライバシーコミッショナー事務局の2025年10月の議会向け問題概要書は、Ticketmaster が利用したサードパーティプロバイダーを Snowflake と特定し、Ticketmaster Canada のインシデント発生期間を2024年4月2日から5月18日とし、カナダ人を含む数百万人の個人情報が関与したとしている。また、調査は継続中であり、PIPEDA に基づくデータ管理者として Ticketmaster Canada が調査対象の事業体であるとも述べている。これは有用な規制上の文脈であるが、保護措置の妥当性、通知時期、または責任を解決する最終的な認定ではない。

AT&T の2024年7月12日付Form 8-Kは、インシデントが一括して議論される場合でも、情報源の境界が重要である理由を示している。AT&T は、攻撃者がサードパーティのクラウドプラットフォーム上の AT&T ワークスペースに不正アクセスし、4月14日から4月25日にかけてファイルを流出させたと述べた。これらのファイルには、2022年の特定期間と2023年の1日について、ほぼすべての AT&T ワイヤレス顧客と関連する MVNO 顧客の通話およびテキストの相互作用記録が含まれていた。AT&T は、これらのファイルには通話やテキストの内容、社会保障番号、生年月日、その他の個人情報（AT&T がその用語を使用する限りにおいて）は含まれていなかったと述べた。この提出書類自体は Snowflake や UNC5537 を名指ししていない。これは AT&T のインシデント事実を支持するものであり、単独でキャンペーンの帰属を支持するものではない。

これらの記録は4つの規律ルールを生み出す。第一に、特定の顧客の提出書類はその顧客についてのみ使用する。第二に、データベース、組織アカウント、消費者ログインを区別する。第三に、データフィールドとそれらが表す人数を区別する。第四に、「メッセージ内容なし」や「消費者アカウントは影響を受けず」といった否定的な事実を影響と並べて保存する。分析が劇的な主張を拡大し、限定的なものを捨てると、説明責任の信頼性が低下する。

顧客は、委任したデータと ID に対して引き続き責任を負った

共有責任の顧客側は相当なものである。組織は Snowflake ユーザーを作成または承認し、認証経路を選択し、ロールを割り当て、データをロードし、履歴を保持し、リージョンを選択し、統合を有効にし、どの従業員や請負業者がウェアハウスにクエリを実行できるかを決定した。また、自社のデータで表される個人との第一義的な関係を保持し、通常、適用されるプライバシー法に基づく管理者責任を保持していた。

顧客は、観測されたキャンペーンを複数の時点で遮断できた可能性がある。エンドポイント露出後にパスワードをローテーションする、パスワードのみのサービスアカウントを禁止する、人間に対して MFA を要求する、管理された ID プロバイダーを通じてアクセスを連携する、ネットワークを制限する、請負業者のユーザーを期限切れにする、ロール付与を削減する、機密フィールドを分類してマスクする、エクスポート権限を分離する、ログイン履歴とクエリ履歴を監視する、クラウドプロバイダー通知の訓練を行う。規制対象または影響度の高いデータセットについては、これらは調達に委任されるオプションの強化策ではなく、基本的な運用義務である。

エンドポイントと請負業者のガバナンスは特に注意を要する。影響度の高いクラウドロールを持つユーザーは、管理されていない個人のコンピューターから認証すべきではない。請負業者は、可能であれば顧客が管理する仮想デスクトップやエンドポイント監視付きのデバイスを使用すべきである。その ID は顧客ごとに一意で、スポンサーに紐付けられ、自動的に期限切れになるべきである。組織は、Snowflake アカウントパターンの認証情報流出フィードを検索し、悪用が確認されるのを待たずに証拠が現れた時点でローテーションを強制すべきである。

最小権限は、役職名ではなくデータに対してテストされなければならない。「アナリスト」は管理権限がないように聞こえるかもしれないが、顧客、従業員、取引テーブルの全行に対する選択アクセスを保持している可能性がある。ロールレビューでは、どの行と列が返されるか、生の識別子が必要かどうか、一括結果セットをステージに書き込めるかどうか、その ID が新しい認証情報や統合を作成できるかどうかを問うべきである。ロール名がきれいに見えるよりも、そのロールでのサンプルクエリの方が強力な証拠である。

顧客はまた、対応準備を所有している。Snowflake ユーザーを従業員や請負業者に、クエリを影響を受けるデータ主体に、エクスポートを管轄区域と通知分析にマッピングできるべきである。ネイティブの1年間の履歴は、より長い法的保持期間や遅延発見には不十分な可能性があるため、高リスクの顧客は関連イベントを独立したセキュリティストアにストリーミングすべきである。プロバイダーのアラートは、単なるログレビューのアドバイスではなく、既知の緊急経路を通じて顧客のセキュリティチーム、プライバシーオフィス、ビジネスオーナー、エグゼクティブ意思決定者に届くテスト済みの経路を必要とする。

NIST のサイバーセキュリティフレームワークサプライチェーンガイドは、重要度に応じてサプライヤー要件を定義・伝達することを推奨している。ここに当てはめると、Snowflake の顧客は、インシデント通知のタイミング、証拠フィールド、保持、サポートエスカレーション、リージョン処理、サブプロセッサの可視性、管理策変更通知、保証アクセスについて契約すべきである。また、喪失や侵害が許容できないデータ機能について、退出または隔離計画を維持すべきである。共有責任は、インシデント後にのみ現れる段落としてではなく、テスト可能なインターフェースとして記述されるべきである。

Snowflake は、サービスレベルのリスク低減に引き続き責任を負った

Snowflake は、請負業者の個人デバイス上のマルウェアや、顧客が MFA を無効のままにするという決定を管理していなかった。古いパスワードが唯一の要素であり続けることができるかどうか、無制限の起点が静かなデフォルトであるかどうか、リスクのある設定が永続的な警告を生成するかどうか、そしてプロバイダーが顧客横断的なパターンを観測した後に何をしたかは管理していた。

このケースにおけるプロバイダーの説明責任には6つの部分がある。

安全なベースライン。特権的な人間のアクセスは、再利用可能なパスワードだけに依存すべきではない。サービス ID には別個のタイプとサポートされている非パスワード方式が必要である。新しいデフォルトは、新しいテナントのみを保護するのではなく、段階的な強制、明示的な例外、移行支援を通じて既存の高リスクアカウントに適用されるべきである。

設定の可視性。プロバイダーはセキュリティ管理者に完全な分母を示すべきである。MFA を使用していない人間、パスワードを使用するレガシーサービスユーザー、休眠アカウント、ネットワーク制限のないユーザー、特権ロール、パブリックアクセスを許可するアカウント。調査結果は組織レベルで可視化され、監査のためにエクスポート可能であるべきである。

顧客横断検出。再利用されたインフラストラクチャ、流出した認証情報、異常なクライアント、偵察シーケンス、一時ステージ作成、大規模なエクスポートはキャンペーンシグナルを形成し得る。プロバイダーはサービス層で検出し、可能性の高い被害者に連絡し、確信度の高いアクティビティがいつ一時的なブロックをトリガーするかを定義すべきである。

実用的なテレメトリ。顧客は、アクティブな窃取を封じ込めるのに十分な保持期間と低いレイテンシを持つ、認証、クエリ、オブジェクト、ステージ、転送の証拠を必要とする。より忠実度の高い証拠は、まさにサービスが最高の影響度のデータを保存する場所で利用できなくなるべきではない。

警告と調整。顧客へのアラートは、既知の緊急経路を通じて移動し、単なるログレビューのアドバイスではなく証拠を運ばなければならない。プロバイダーは、確認応答、封じ込め、再発する露出を追跡し、不確かな観測を確定した被害者数に崩すことなく、法執行機関や規制当局の要請をサポートすべきである。

インシデント後の検証。発表された機能とデフォルトには、採用と有効性の尺度が必要である。デフォルト MFA、流出パスワードの無効化、Trust Center の調査結果、より強力な ID タイプへの Snowflake の後の変更は、観測された経路に対処するものである。残る説明責任の問いはカバレッジである。どのユーザーとクライアントが実際に保護されているか、どのような例外が残っているか、管理策が実際のまたはシミュレートされた試みを阻止する頻度はどれくらいか。

この配分は、Snowflake をあらゆる顧客データセットのデータ管理者にするものではなく、プロバイダーがすべての顧客設定に責任を負うものでもない。これは、クラウド企業がデータを集中化し、セキュリティ境界を運用することから利益を得ていることを認識するものである。規模は、特に顧客横断的な相関とベースラインエンジニアリングにおいて、プロバイダーのみが実行できる義務を生み出す。

後の訴訟は同じ境界を試すが、まだ解決していない

Snowflake と影響を受けた企業は、インシデント後に統合された民事訴訟に直面した。2025年10月29日の連邦裁判所命令において、モンタナ州地区連邦地方裁判所は、金融機関の原告が Snowflake と Ticketmaster に対する特定の過失理論を十分に主張し、却下申立を退けるに足ると判断した。裁判所は、手続き上のその段階において、申し立てられたデフォルト MFA と予見可能性が、注意義務、違反、因果関係に関連するものとして扱った。

この命令は、Snowflake または Ticketmaster が過失であったという事実審の認定ではない。却下申立では、裁判所は適切に申し立てられた主張がもっともらしい請求を述べているかどうかをテストするものであり、争われている証拠を解決したり、各原告の最終的なインシデントのメカニズムを決定したり、損害賠償を割り当てたりするものではない。Snowflake は主張を争い、MFA、ネットワークポリシー、その他の保護策を実装しなかった顧客の失敗が損害を引き起こしたと主張した。この命令は、MFA を顧客設定と表現することがすべてのプロバイダー責任の請求を自動的に終わらせるものではないことを示している点で重要である。これは最終的な本案記録の代替物ではない。

カナダのプライバシー調査は異なる配分を伴っていた。OPC は、Ticketmaster Canada が管理者であり、調査対象の事業体であると述べ、事務局は Snowflake に情報提供を求めた。これは、ストレージのアウトソーシングが管理者の保護と通知の義務をアウトソーシングするものではないという、一般的なプライバシー原則を反映している。これは、サービスプロバイダーが独自の契約上、技術上、または法律上の義務を負わないことを意味するものではない。

Snowflake の Form 10-K 自体は、多数の訴訟、規制調査、議員の照会を認めていたが、最終的な普遍的な責任の配分を報告していなかった。公開日現在、ここでレビューされた公開情報源は、Snowflake が法的に免責された、すべての顧客が法的に責任があった、または最終的な裁判所や規制当局が本記事の運用上の配分を採用したと宣言することを支持するものではない。

運用上の説明責任は、最終的な責任の前に評価できる。パスワードのみのアクセスは予見可能だったか？ はい。顧客は MFA とネットワークポリシーを要求できたか？ はい。Snowflake はデフォルトを設計し、顧客横断的な活動を検出できたか？ はい。犯罪者は結果として生じた経路を意図的に悪用したか？ はい。これらの命題は共存し得る。不法行為法、契約法、プライバシー法、証券法は、管轄区域や原告によって異なる結果を割り当てる可能性があるが、エンジニアリングは一つのスローガンが勝利するのを待つべきではない。

測定可能な共有責任テスト

最も強力な対応は、一方に「顧客」、もう一方に「プロバイダー」と書かれた別の図ではない。それは、カバレッジと障害時の挙動を実証できる一連の管理策である。

取締役会は、機能の一覧ではなく成果を受け取るべきである。有用な指標には、フィッシング耐性 MFA で保護された人間ユーザーの割合、パスワード使用可能なサービスユーザーの数、各緊急用例外の経過時間、テスト済みネットワークポリシーを持つアカウントの割合、有効期限切れの特権請負業者 ID の数、未知の起点に対するアラートまでの時間の中央値、確信度の高いセッションを停止するまでの時間、フィールドレベルの露出パッケージを作成するまでの時間が含まれる。

Snowflake は、顧客を露出させることなく可能な範囲で、集計された進捗を公開すべきである。CISA の誓約は、ユーザータイプと MFA タイプ別の採用統計を明示的に想定している。MFA が利用可能であるという声明は、経時的なパスワードのみのサインインの分布よりも情報量が少ない。Trust Center が有効化されているという声明は、定義された期間を超えて未解決のままの重要な調査結果がいくつあるかよりも情報量が少ない。疑わしい顧客に通知されたという声明は、通知レイテンシと証拠パッケージの完全性よりも情報量が少ない。

顧客は、自らにも同様の厳格さを要求すべきである。プロバイダーは、広範なロールを作成し、調査結果を無視し、古い請負業者ユーザーを維持し、緊急連絡先に対応する者がいない組織を救うことはできない。より強力なデフォルトの目的は、顧客のセキュリティの所有権を Snowflake に移転することではない。予測可能な怠慢が大量のデータ窃取になる可能性を低くすることである。

公開記録が依然として確立していないこと

証拠はキャンペーンのパターンを再構築するのに十分なほど強力であるが、すべての被害者インシデントに十分ではない。

公開記録は、通知されたすべての組織を特定しておらず、165組織すべてが不正アクセスを受けたことを確認しておらず、影響を受けた個人、テーブル、レコード、またはダウンロードされたバイト数の最終的なキャンペーン全体の合計を提供していない。どの被害者が恐喝要求に支払ったか、約束された削除が行われたかも示していない。

各組織のユーザータイプ、ロール階層、MFA 履歴、ネットワーク設定、エンドポイント所有者、セッションシーケンス、アクセスされた列、エクスポート量を公開していない。複数の調査からの請負業者デバイスの調査結果をすべての被害者に割り当てるべきではない。79.7％の認証情報露出の統計は、被害者の割合に変換されるべきではない。

ソフトウェアの脆弱性、クロステナントエスケープ、Snowflake の本番プラットフォームの侵害、プロバイダーのマスター認証情報の窃取、全 Snowflake 顧客へのアクセスを確立していない。サポートされているクライアントとコマンドの使用が観測されたことは、認証情報の悪用の証拠であり、製品コードが悪用されたという証明ではない。

すべてのインシデントでリージョンデータが国境を越えたことを証明していない。アーキテクチャはリモートアクセスとローカルダウンロードを許可したが、法的な転送分析には、各顧客のソース、宛先、データ主体、契約、管轄区域の事実が必要となる。

Ticketmaster の可能性のあるフィールド、AT&T の通話詳細スコープ、または犯罪フォーラムの件数を、他の顧客に一般化することはできない。Live Nation の提出書類は Snowflake を名指ししていない。AT&T の提出書類は Snowflake や UNC5537 を名指ししていない。外部の関連付けはさらなる調査に関連するかもしれないが、提出書類は実際に確立していることについて引用されるべきである。

最後に、現在の Snowflake のドキュメントは、2024年4月と5月における管理策の運用を証明するものではない。後のデフォルト MFA、流出パスワード保護、Trust Center 検出、認証ポリシー、ID の変更は再発を減らすかもしれないが、採用、例外カバレッジ、検出パフォーマンス、独立した有効性に関する公開証拠は、機能の説明よりも限定的なままである。

共有責任は、推奨が無視された瞬間を生き延びなければならない

Snowflake キャンペーンは、二つの絶対的な物語の間の競争として理解するのが最善ではない。一つの物語は、プラットフォームがハッキングされ、プロバイダーだけが失敗したと言う。証拠はそれを支持しない。もう一つは、顧客がパスワードを失ったため、プロバイダーの問題は終わったと言う。それは技術的に不完全である。

UNC5537 は、エンドポイント侵害とクラウド集中化の間のスケーラブルな接合点を発見した。過去のパスワードは有効なままだった。人間の ID とサービス ID は必ずしも分離されていなかった。MFA とネットワークの関門はなかった。サポートされているクエリとステージング機能はデータを迅速に移動させた。プロバイダーはテナント全体にわたるパターンを見ることができたが、各顧客は自社のアカウントしか見ることができなかった。選択されたストレージリージョンは、認証されたセッションが別の場所で制御不能なコピーを作成したとしても、ソースデータをその場に保持することができた。

顧客には、自社のユーザー、ロール、エンドポイント、請負業者、データを管理する最も明確な義務があった。Snowflake には、サービス境界を保護・観測し、価値の高い保護を容易かつますます不可避なものにし、キャンペーン行動を検出し、証拠を提供する最も明確な義務があった。攻撃者は犯罪行為について直接的な責任を負っていた。規制当局と裁判所は、各組織に適用される事実と法律に基づいて法的義務を評価しなければならない。これらの配分は、管理策が重複しているため重複する。

キャンペーン後の製品の方向性は、機能と成果の間のギャップを暗黙のうちに認識している。新規の人間ユーザーに対するデフォルト MFA、流出パスワードの無効化、より強力な認証ポリシー、サービスユーザーの移行、Trust Center の調査結果は、セキュリティをプロバイダーのベースラインに近づける。これらは顧客の責任を消し去るものではない。これらは、共有システムが、盗まれたパスワードがテストされる前に、すべての管理者がすべての正しいオプションを見つけて有効にすることに依存する度合いを減らす。

これが、クラウドデータプラットフォームに対する永続的な説明責任のテストである。顧客が警告を見逃し、請負業者のデバイスが感染し、認証情報が有効なままであり、攻撃者が通常の製品機能を使用すると仮定する。次に、デフォルトがログインをブロックするか、別の関門が起点を拒否するか、ロールがほとんどを明らかにしないか、エクスポートが介入をトリガーするか、そして証拠が時間内に顧客に届くかを問う。共有責任は、一方の当事者の予測可能なミスの後もサービスが防御可能なままであり、両当事者がその前後に行ったことを証明できる場合にのみ、信頼に足る。