一社の侵害が十数社を道連れに――クラウド時代の「連鎖型攻撃」

一社のソフトウェアに忍び込むだけで、十数社の機密データを一度に盗み出せる時代が来ている。

2026年4月4日、企業向けモニタリングソフトウェアを提供するAnodotのシステムで異変が起きた。同社の「データコネクター」が突然停止し、顧客企業がクラウドに保存したデータへアクセスできなくなった。最初は単なる技術的障害のように見えたこの出来事は、実際にはハッカー集団ShinyHuntersによる計画的な侵入の始まりだった。

何が起きたのか――「鍵」を盗んだ攻撃

Anodotは、企業が売上に影響するシステム障害や異常を検知するためのツールを提供している。つまり、多くの大企業が自社のビジネスクリティカルなデータを同社のプラットフォームと連携させている。ハッカーたちが狙ったのはそこだった。

報道によれば、ShinyHuntersはAnodotのシステムに侵入し、顧客企業がクラウドストレージにアクセスするための認証トークンを窃取した。いわば「マスターキー」を盗んだようなものだ。そのトークンを使って、攻撃者は顧客企業のクラウドデータに直接アクセスし、大量のデータを持ち出した。クラウドストレージ大手のSnowflakeは、一部のデータストアで「異常なアクティビティ」を検知した後、Anodot顧客のアクセスを遮断したと報じられている。

被害を受けた企業の一つとして名前が挙がっているのが、Grand Theft Autoシリーズで知られるゲーム大手Rockstar Gamesだ。同社の広報担当マーフィー・シーゲル氏は「サードパーティのデータ侵害に関連して、限定的かつ重要性の低い社内情報が一部アクセスされたことを確認している。この事案は組織やプレイヤーに影響を与えない」と述べた。Rockstar Gamesは2022年にも別のハッキング被害を受けており、当時はGrand Theft Auto VIの未公開映像が流出している。

ShinyHuntersはランサムの要求が満たされなければ盗んだデータを公開すると脅しており、被害企業は恐喝と情報漏洩の二重のリスクに直面している。

広告

広告掲載について

[email protected]

広告

なぜ今、このニュースが重要なのか

ShinyHuntersは英語圏を中心とするハッカー集団で、ソーシャルエンジニアリング、特にITヘルプデスクや社内サポートを装った「なりすまし」に長けていることで知られる。過去1年間で同グループが標的にしてきたのは、Anodot、Gainsight、Salesloftなど、顧客が大量データをクラウドで分析・管理できるようにするB2Bソフトウェア企業だ。これらの企業を一つ突破すれば、その顧客企業群へのアクセスが芋づる式に可能になる。

この手法は「サプライチェーン攻撃」と呼ばれ、近年急増している。直接攻撃が難しい大企業ではなく、セキュリティが相対的に手薄な中間業者を狙うことで、より多くの標的を効率よく攻略できるからだ。Anodotの親会社はGlassboxであり、今回の事案はその傘下の製品が入り口となった。

日本企業にとってこの問題は決して対岸の火事ではない。ソニー、トヨタ、任天堂をはじめ、多くの日本企業がグローバルなクラウドサービスやB2Bソフトウェアを活用している。自社のセキュリティ対策がどれほど堅固であっても、利用しているソフトウェアベンダーが侵害されれば、その「鍵」ごと盗まれるリスクがある。

異なる立場からの視点

企業のIT部門やセキュリティ担当者にとって、今回の事案が突きつける問いは明確だ。「自社が使っているSaaSツールは、どれだけのアクセス権限を持っているか把握しているか？」という問いだ。認証トークンの管理、定期的なアクセス権限の棚卸し、ベンダーのセキュリティ評価――これらは「やるべきこと」として語られながら、実際には後回しにされがちな領域でもある。

一方、Rockstar Gamesのようなゲーム企業の視点から見れば、今回の被害は「重要性の低い情報」にとどまったとされる。しかし2022年のGTA VI映像流出事件の記憶がある同社にとって、繰り返しの侵害は信頼性の問題としても重くのしかかる。ゲームプレイヤーや消費者は、自分の個人情報が本当に安全かどうかを改めて問い直すだろう。

クラウドサービス提供者であるSnowflakeの対応は迅速だったとされるが、同社は今回の件についてコメントを控えている。クラウドプロバイダーにとって、このような「間接的な侵害」への対応責任の所在は、今後の業界標準や規制議論に影響を与えうる。

コンプライアンスや法務の観点では、日本の個人情報保護法や欧州のGDPRが定める「第三者提供」や「委託先管理」の義務が問われる。自社が直接侵害されていなくても、委託先ベンダー経由でデータが漏洩した場合、企業は報告義務や顧客への説明責任を負う可能性がある。