Okta Breach (Lapsus$ + Sitel・2022)（オクタブリーチ）
2022年に発生した、Lapsus$グループによるOktaの侵害事件。委託先企業の認証情報奪取を起点とし、SSO/MFAの信頼性を揺るがせたソーシャルエンジニアリング主導の攻撃事例。
概要
2022年初頭に発生した「Okta Breach」は、サイバーセキュリティのパラダイムが「ソフトウェアの脆弱性（Exploit）」から「アイデンティティと信頼の悪用（Identity-centric Attack）」へと決定的にシフトしたことを象徴する事件です。攻撃主体であるLapsus$グループ（英国およびブラジルの若年層を中心とした集団）は、高度なゼロデイ脆弱性を駆使するのではなく、極めて古典的かつ強力な「ソーシャルエンジニアリング」と「認証情報の窃取」を組み合わせることで、世界最大級のIDaaS（Identity-as-a-Service）プロバイダーであるOktaの内部ネットワークへ侵入しました。
攻撃の起点となったのは、Okta本体ではなく、同社のカスタマーサポート業務を委託されていたSitel社（現Sykes Enterprisesの一部）のエンジニア端末でした。奪取された認証情報を用いて、攻撃者はOktaの内部Slackや管理環境へのアクセス権を得ることに成功しました。これにより、Oktaを利用してシングルサインオン（SSO）を構成していた数百もの企業に対し、二次的な侵害リスクが波及する「アイデンティティ・サプライチェーン攻撃」の脅威が現実のものとなりました。
この事件の特筆すべき点は、その連鎖的な影響力です。Lappsus$はOktaへの侵入後、Nvidia、Samsung、Microsoftといったテクノロジー界の巨人たちに対し、ソースコードや機密データの流出を伴う連続的な攻撃を展開しました。これは、単一の認証基盤（Identity Provider）が侵害されることが、エコシステム全体の崩壊に直結することを示す極めて深刻な事例となりました。
インシデント・プロファイル
| 項目 | 詳細内容 |
|---|---|
| 攻撃主体 | Lappsus$ (ソーシャルエンジニアリングを主軸とする犯罪集団) |
| 初期侵入ベクトル | サプライチェーン（委託先Sitel社）における認証情報の窃取 |
| 、 | 主要な攻撃手法 |
| ターゲット層 | IDaaSプロバイダーおよびその管理権限を持つサードパーティ業者 |
| 波及した影響範囲 | 数百社に及ぶSSO利用者、主要テック企業のソースコード流出 |
| 攻撃の性質 | データの暗号化（ランサムウェア）よりも、窃取と暴露（Extortion）を重視 |
攻撃パラダイムの比較：従来型 vs Lappsus$型
かつてのサイバー攻撃と、本事件に代表される現代的な攻撃手法には明確な差異が存在します。
| 特徴 | 従来のマルウェア・ランサムウェア攻撃 | Lappsus$流（アイデンティティ主導型） |
|---|---|---|
| 技術的難易度 | 高い（ゼロデイ脆弱性や複雑なペイロードが必要） | 低〜中（認証情報の窃取と心理的操作が中心） |
| 侵入の焦点 | ネットワーク境界、OSの脆弱性 | アイデンティティ、セッション、信頼関係 |
| MFAへの対応 | 認証を回避するための技術的バイパスを試行 | セッションハイジャックやサポート窓口への欺瞞による突破 |
| 攻撃の持続性 | システム破壊やデータの暗号化による即時的な脅威 | 権限の維持と、サプライチェーンを通じた長期的な潜伏 |
関連用語との違い
サプライチェーン攻撃との違い
一般的な「サプライチェーン攻撃」は、ソフトウェアのアップデートプロセスにマルウェアを混入させる（例：SolarWinds事件）ような、製品そのものの汚染を指すことが多いです。一方、本件は「アイデンティティ・サプライチェーン攻撃」と呼ぶべき性質を持っており、製品のコードではなく、管理・運用に関わる「信頼の連鎖（Trust Chain）」、すなわち委託先の権限や認証情報を標的にした点が異なります。
クレデンシャル・スタッフィングとの違い
クレデンシャル・スタッフィングは、流出したID/PWリストを用いて自動化された試行を行う手法です。これに対し、本事件の手法は、特定のターゲット（Sitel社のエンジニア）を狙い撃ちし、ソーシャルエンジニアリングによって「正規のプロセス」として認証を突破させる、より標的型（Targeted）で巧妙なアプローチでした。
FAQ
Q1: MFA（多要素認証）を設定していたのに、なぜ突破されたのですか？ A1: 攻撃者はMFAそのものを無効化したのではなく、MFA認証が完了した後の「セッション・トークン」や、認証済みの「エンジニア端末」の制御権を奪取することに成功しました。一度認証が確立された後の通信（セッション）を乗っ取る手法は、現代のMFA対策における最大の弱点の一つです。
Q2: なぜ委託先（Sitel社）が狙われたのですか？ A2: 本丸であるOkta本体には極めて強固なセキュリティ境界が存在しますが、運用を担うサードパーティ企業は、相対的にセキュリティレベルが低い、あるいは「信頼されたアクセス権」を持っているため、攻撃者にとっての「脆弱な入り口（Weakest Link）」となりやすいためです。
Q3: この事件を受けて、現在のセキュリティ対策はどう進化していますか？ A3: 2025年現在のトレンドとして、「フィッシング耐性のあるMFA（FIDO2/Passkeys）」への移行が加速しています。また、単なる認証情報の有無だけでなく、アクセス元のデバイスの状態（Device Posture）や、ユーザーの行動パターンをリアルタイムで検証する「継続的な適応型認証」の導入が進んでいます。