データ共有基盤「Snowflake」環境の認証情報強奪と不十分なMFA
確認時の注意：事例の報道内容や影響範囲は更新される可能性があります。公開時点の一次情報、公式発表、脆弱性情報を確認し、環境の所有者の承認とバックアップを準備してから対策を適用してください。
【背景と概要】
大手自動車メーカー、チケット販売大手、金融関連企業などの大手企業において、クラウド型データウェハウス「Snowflake」上の顧客データや社内データが相次いで流出・脅迫される大規模なセキュリティインシデントが発生しました。
この事故の分析において重要なポイントは、Snowflakeプラットフォーム自体のシステム的な脆弱性（ハッキング）によって起きたのではなく、「利用企業側のアカウント管理の不備」および「多要素認証（MFA）が設定されていなかったこと」が主な原因であったという点です。クラウド時代の共有責任モデル（Shared Responsibility Model）の盲点を突いた事件として大きな波紋を広げました。
【Snowflake環境侵入のメカニズム】
攻撃者は高度なゼロデイ脆弱性ではなく、市販のインフォスティーラー（情報窃取マルウェア）で集めた大量の認証情報を悪用しました。
- インフォスティーラーログ（闇市場）からの資格情報強奪
攻撃者（UNC5537とされるグループ等）は、以前からダークウェブ上で売買されていたインフォスティーラー（RedLineやLUMMA等）のログ（ボットログ）を買い漁り、その中に含まれていた「Snowflakeアクセス用のIDとパスワード」を抽出しました。
- MFA非設定アカウントに対する「直接アクセス」
抽出されたID・パスワードを用いてSnowflakeのログイン画面へ直接アクセスを試みました。被害に遭った企業の多くは、管理者・運用者のアカウントに対してMFA（多要素認証）の適用を必須化しておらず、単一のID・パスワードだけで直接ログインを許してしまう設定になっていました。
- 大量データの高速ダウンロードと二重脅迫（リーク脅迫）
ログインに成功した攻撃者は、Snowflake内に格納されていたテラバイト級の顧客情報や取引データを専用ツールで高速ダウンロード（Exfiltration）し、その後「身代金を支払わなければデータを公開する」と企業へ脅迫を行いました。
【インシデントが浮き彫りにしたクラウド運用のリスク】
クラウドサービス側が強力なセキュリティ機能（MFAやIP制限）を提供していても、利用企業側がその設定を「任意」とし、MFAを有効化しないまま放置していれば、どれほど強固なプラットフォームであってもデータは容易に流出するという現実が示されました。
【クラウドデータ基盤（SaaS/PaaS）を守るための対策】
設定の強制化とアイデンティティガバナンス（SSPM）が必要です。
- 全クラウドサービスにおける「MFA（多要素認証）」の完全強制適用
管理者だけでなく、一般ユーザーや外部連携用のアカウントも含め、例外なくMFA（できればパスキー等のFIDO2規格）を必須化する設定をプラットフォーム全体に一括適用します。
- ネットワーク接続のIP制限とコンディショナルアクセスの適用
クラウドデータ基盤への直接アクセスを遮断し、社内の特定のIPアドレスや、認可されたVPN/ZTNA経由でのみアクセスを許可するネットワーク制御（IPホワイトリスト等）を施します。
- SSPM（SaaSセキュリティ姿勢管理）による設定不備の定期監査
SSPMツールを活用し、社内で導入されている全SaaS/クラウドにおいて「MFAがオフになっているアカウント」や「パブリック共有されているデータ」が存在しないかを24時間体制で自動監視します。