Snowflake Customer Breach (2024年6月)（スノーフレークサプライチェーン）
2024年6月に発覚した、クラウドデータウェアハウス大手Snowflakeの顧客を標打的とした大規模な認証情報窃取事件。MFA未設定アカウントが悪用され、多国籍企業を含む膨大な個人情報が流出したサプライチェーン攻撃の典型例。
概要
2024年6月、クラウドデータウェアハウス（CDW）のリーダーであるSnowflakeを利用する多数の顧客企業が、大規模なデータ流出被害に遭ったことが判明した。この事件は、攻撃者集団「UNC553rypt/ShinyHunters」によるもので、Snowflake自体のプラットフォームへの直接的な侵入ではなく、顧客側の認証管理の不備を突いたものである。
攻撃の手法は、RedLineやLummaといったInfostealer型マルウェアによって事前に収集されていた「盗難資格情報（Stolen Credentials）」を利用するものだった。多要素認証（MFA）が設定されていなかったアカウントに対し、正規のログインプロセスを模倣してアクセスすることで、検知を回避しながらデータベース内の機密情報へ到達した。この事件は、単なるデータ漏洩に留まらず、クラウド基盤を利用する企業群全体への被害連鎖を引き起こしたことから、「アイデンティティ・サプライチェーン攻撃」の象徴的な事例として記録されている。
インシデント・プロファイル
| 項目 | 詳細内容 |
|---|---|
| 発覚時期 | 2024年6月 |
| 主な脅威主体 | UNC5537 / ShinyHunters |
| 攻撃ベクトル | Infostealerによる盗難資格情報（セッションCookie含む） |
| 脆弱性の所在 | 顧客アカウントにおけるMFA未設定およびネットワーク制限の欠如 |
| 被害規模 | 160社以上の主要顧客、数億人規模の個人データ流出（Ticketmaster, AT&T等） |
| 事後対策 | SnowflakeによるMFA強制適用、Network Policy強化の推進 |
攻撃モデルの比較分析
本件の特異性を理解するために、過去の重大なサプライチェーン攻撃と比較する。
| 特徴 | 本事案 (Identity-based) | SolarWinds事件 (Software-based) | 一般的なランサムウェア | | :--- Man | 認証情報の悪用による侵入 | ソフトウェア更新へのコード混入 | システムの暗号化・破壊 | | 攻撃対象 | クラウド利用者のアイデンティティ | 開発・ビルドプロセス（供給網） | エンドポイントやサーバー | | 信頼の悪用 | 正規ユーザーの権限を悪用 | 正規アップデートによる配布 | 脆弱性またはフィッシング | | 防御の焦点 | MFA、ITDR、ネットワーク制限 | サプライチェーン・セキュリティ管理 | EDR、バックアップ、パッチ適用 |
セキュリティ概念の再定義
「サプライチェーン攻撃」の変容
従来のサプライチェーン攻撃は、ソフトウェアの更新プログラムに不正コードを混入させる「ソフトウェア供給網（Software Supply Chain）」への攻撃が主流であった。しかし、本件は「クラウド・サービス・プロバイダー（CSP）を利用する顧客側の認証管理」という、アイデンティティ層におけるサプライチェーンのリスクを浮き彫りにした。これは、インフラの信頼性だけでなく、そのインフラを利用するための「鍵（認証情報）」の管理が、組織全体のセキュリティ境界を決定づけることを意味している。
Infostealerによる脅威の増大
従来のフィッシング攻撃はユーザーに偽サイトへの入力を促すが、Infostealer型マルウェアは、PC内に残されたセッションCookieやパスワードを自動的に抽出する。これにより、ユーザーが気づかないうちに「正規のログイン状態」が奪われるため、従来のログイン監視だけでは検知が極めて困難である。2025年以降のセキュリティ対策においては、この「認証情報の窃取」を前提とした防御策が不可欠となっている。
FAQ
Q1: Snowflake自体のシステムに脆弱性はあったのか？ A1: 調査の結果、Snowflakeのプラットフォーム自体に直接的なゼロデイ脆弱性があったわけではない。主な原因は、顧客側のアカウントにおいて多要素認証（MFA）が設定されていなかったこと、および特定のIPアドレス以外からのアクセスを制限するネットワークポリシーが適用されていなかったという「構成上の不備」にある。
Q2: なぜ「サプライチェーン攻撃」と呼ばれるのか？ A2: 単一の企業の侵害に留まらず、クラウド基盤という共通のプラットフォームを利用する多数の企業（下流の顧客）へ被害が連鎖的に波及したためである。これは、ソフトウェア供給網だけでなく、「データ管理基盤の認証管理」もサプライチェーンの一部であることを示唆している。
Q3: 2025年以降、企業はどのような対策を講じるべきか？ A3: 「アイデンティティ・ファースト」のセキュリティ戦略が不可欠である。MFAの完全義務化に加え、Identity Threat Detection and Response (ITDR) の導入、および「ネットワークポリシーによるアクセス制限（IPホワイトリスト化）」といった、認証情報が盗まれたことを前提としたゼロトラスト・アーキテクチャの構築が急務となっている。