ブログ
データ漏洩の時代は収束の気配を見せていない
データ侵害は大規模化、頻発化しており、封じ込めが難しくなっています。ここでは、この傾向を後押ししている要因と、それに対してあなたができることについて説明します。
IBMの年次報告書「データ侵害のコスト」によると、2024年のデータ侵害の平均コストは488万ドルに達しました。今年の上半期だけでも10億件以上のレコードが流出しました。これらは例外的な事例ではありません。何年も前から加速しているトレンドの継続であり、これが自然に反転すると期待する理由はほとんどありません。
ニュースを賑わせているデータ侵害は、もはやセキュリティ対策の不十分な中小企業だけに留まりません。資金力のある大企業も被害に遭っています。一度に数億人もの人々に影響を与えています。そしてその根本原因は、現代のソフトウェアの構築、接続、デプロイ方法に結びついた、より構造的なものになりつつあります。
なぜこのようなことが起きているのか、そしてどのような実践的な対策が存在するのかを理解することは、5年前よりも重要になっています。攻撃を受ける表面（アタックサーフェス）は拡大しており、その背後にあるデータ量も増加しているからです。
最近のデータ侵害の規模
2023年と2024年のいくつかの事例が、その軌跡を物語っています。
2023年中頃のMOVEitのデータ侵害では、広く使用されているファイル転送ツールの脆弱性が悪用されました。MOVEitは数千の組織のワークフローに組み込まれていたため、単一の脆弱性が2,600以上の企業や政府機関に連鎖的に波及しました。これは教科書通りのサプライチェーン攻撃でした。ターゲットは個別の企業ではなく、多くの企業が依存しているインフラだったのです。
2024年初頭、AT&Tは約7,300万人の現在および過去の顧客のレコードが流出したことを公表しました。データには、氏名、住所、社会保障番号、アカウント情報が含まれていました。AT&Tほどの規模とリソースを持つ企業であっても、規模の大きさだけではセキュリティを担保できないことが浮き彫りになりました。
2024年のNational Public Dataのデータ侵害は、その規模において驚異的なものでした。社会保障番号、住所、その他の個人識別情報を含む、約29億件のレコードが漏洩しました。バックグラウンドチェック（身元調査）およびデータブローカーサービスを提供するNational Public Dataは、同社と直接やり取りをしたことのない人々の機密情報を大量に保有していました。影響を受けた人のほとんどは、そもそも自分のデータがそこに存在することすら知りませんでした。
その後、Snowflake関連のデータ侵害が発生しました。クラウドデータプラットフォームであるSnowflake自体が、従来の意味で不正侵入されたわけではありません。代わりに、攻撃者は盗まれた認証情報を使用して、多要素認証（MFA）が設定されていない顧客のアカウントにアクセスしました。その余波は、TicketmasterやSantanderなどの大企業を直撃しました。これは、セキュリティの強さは最も弱い認証レイヤーによって決まるということを思い出させる出来事でした。
悪化し続ける理由
データ侵害の頻度と深刻度が増加している背景には、いくつかの構造的な要因があります。
第一に、収集されるデータの膨大な量です。企業はユーザーに関する情報をこれまで以上に収集しており、多くの場合、提供するサービスに必要とされる量をはるかに超えています。保存されるデータポイントが1つ増えるごとに、盗まれる可能性のあるデータポイントが1つ増えることになります。必要なデータのみを収集する「データの最小化」の実践は、依然として常識というよりは努力目標に留まっています。
第二に、サードパーティ製インテグレーションの急増です。現代のソフトウェアが単独で動作することはほとんどありません。アプリケーションはAPI、プラグイン、データパイプラインを介して他のアプリケーションと接続しています。それぞれの統合が、潜在的な侵入口となります。MOVEitのデータ侵害はその明確な例です。MOVEitの名前すら聞いたことがない組織が影響を受けたのは、サプライチェーンのどこかでベンダーやパートナーがそれを使用していたためです。
より広範なサプライチェーン攻撃は、2020年のSolarWindsのデータ侵害によって確立されたパターンを踏襲しています。ターゲットを直接攻撃するのではなく、ターゲットが依存しているツールやサービスを侵害します。このアプローチは攻撃者にとって非常に効率的です。なぜなら、依存関係にある要素を1つ侵害するだけで、下流にある数千の組織へのアクセスが可能になるからです。
クレデンシャルスタッフィング（資格情報詰め込み攻撃）も根強い問題です。あるデータ侵害で漏洩した認証情報が他のサービスで使い回されていると、攻撃者は膨大な規模でログインの試行を自動化できます。Snowflakeの事例は、主に盗まれた認証情報と多要素認証の欠如によって引き起こされました。このテーマについて長年ガイダンスが提供されているにもかかわらず、認証情報の使い回しや弱い認証設定は依然として広く見られます。
さらに、AIによって拡大するアタックサーフェス（攻撃対象領域）があります。アカウントに接続し、ファイルを読み、メッセージを送信し、ユーザーに代わってアクションを実行するAIエージェントは、新たな侵入経路をもたらします。メール、クラウドストレージ、プロジェクト管理ツールに接続するすべてのエージェントは、セキュリティを確保する必要がある新たなアクセスポイントとなります。これらのエージェントに付与される権限は、便利に機能させるために広範になりがちです。しかし、権限が広いということは、エージェントやそれを提供するサービスが侵害された場合に、漏洩する範囲も広くなることを意味します。
エージェント問題
AIエージェントの台頭は、データへのアクセスや移動の方法における質的な変化を表しているため、特に注目に値します。
従来のソフトウェアは、比較的予測可能な方法でデータにアクセスします。メールクライアントは受信トレイを読み取り、スプレッドシートアプリはファイルを読み取ります。データの流れは理解可能であり、アクセスパターンは明確に定義されています。
対照的に、AIエージェントは自由度の高いアクセスを必要とすることがよくあります。スケジュールの管理を支援するエージェントには、カレンダー、メール、タスク管理、連絡先へのアクセスが必要になる場合があります。調査を支援するエージェントには、ドキュメント、ブラウザの履歴、メモへのアクセスが必要になる場合があります。エージェントが有能であればあるほど、より多くのアクセス権限が必要になります。
これが問題を複雑化させます。各エージェントは新たな統合ポイントであり、それぞれの統合ポイントは潜在的な侵入経路となります。また、従来のソフトウェアとは異なり、エージェントはある程度の自律性を持って動作し、どのデータにアクセスし、それをどのように使用するかを決定することがあります。エージェントの認証情報が侵害されたり、エージェントのプロバイダーがデータ侵害に遭ったりした場合、その影響範囲は非常に大きくなる可能性があります。
業界では、エージェントの認証、権限の範囲設定、または監査ログに関する強固な標準がまだ策定されていません。これらの標準はいずれ確立されますが、それまでの間、新しいエージェントへの接続は、その背後にあるプロバイダーのセキュリティに対する賭けとなります。
個人とチームができること
データ侵害のリスクを完全に排除する方法はありません。しかし、被害を抑えるための具体的なステップは存在します。
最も効果的なステップは、最もシンプルなことでもあります。それは、データフットプリント（データの足跡）を削減することです。データが存在する場所が少なければ少ないほど、盗まれる場所も少なくなります。これは、ファイルを数十のサービスに分散させるのではなく、少数のシステムに統合することを意味します。使わなくなったアカウントを削除すること、そして、どのサービスに登録し、どの権限を付与するかを慎重に選択することを意味します。
強力な暗号化と明確なプライバシーポリシーを備えたツールを選択することが、かつてないほど重要になっています。すべてのクラウドサービスが同じようにデータを扱うわけではありません。保存時および転送時にデータを暗号化するサービスもあれば、そうでないサービスもあります。データを無期限に保持するサービスもあれば、削除を許可するサービスもあります。細かい規約を読むのは面倒ですが、サービス間の違いは重大です。
ファイルを管理下にないプラットフォームに分散させたままにするのではなく、自分がコントロールできるシステムに保管することは、有意義なリスク軽減につながります。ファイルが単一の高度に保護された環境にあれば、一貫したアクセス制御を適用し、不審なアクティビティを監視し、問題が発生した場合に迅速に対応できます。ファイルが15の異なるサービスに散らばっており、それぞれが異なるセキュリティレベルである場合、リスクはチェーンの最も弱いリンクによって決定されます。
多要素認証（MFA）は、依然として最も効果的な防御策の1つです。Snowflake関連のデータ侵害は、MFAが設定されていれば大部分が防げたはずです。MFAをサポートするすべてのサービスでMFAを有効にすることは、わずかな時間で大きな見返りを得られる投資です。
チームにおいては、承認されたツール、データの共有方法、エージェントの権限付与方法に関する明確なポリシーを設定することで、組織のアタックサーフェスを縮小できます。シャドーIT（チームメンバーが個別に未承認のツールやサービスを使用すること）は、管理されていないリスクの最も一般的な原因の1つです。
セキュリティを意識した基盤の構築
Fabricは、プライバシーファーストのアーキテクチャでこれらの問題に取り組みます。データは暗号化され、ファイルはあなたのもののままで維持されます。当プラットフォームは、あなたのデータでAIモデルをトレーニングすることはありません。FabricのAIアシスタントを使用する場合、処理のためにファイルを他所に送信することなく、ファイル上で動作します。
個人用ストレージの持ち込み（BYOS）モデルにより、ファイルが物理的にどこに保存されるかをコントロールできます。Google ドライブ、Dropbox、その他のサービスを接続できますが、データは選択したストレージに残ります。これは、すべてのデータを自社サーバーにアップロードすることを要求するプラットフォームとは一線を画す大きな違いです。
ファイルを単一のクラウドワークスペースに統合することで、管理が必要な統合ポイントの数も減らせます。ダースもの異なるツールにアクセス権を付与する代わりに、一貫したセキュリティ管理の下、1つの環境から作業できます。Fabricのスマートな整理機能は、コンテンツごとにファイルを自動分類するため、統合したからといってファイルが見つけにくくなることはありません。
機密性の高い資料を扱うチームにとって、明確なデータ取り扱いポリシーを持つプラットフォームは、贅沢品ではなく基本要件です。Fabricのコラボレーション機能はこれを考慮して設計されており、チームはセキュリティを妥協することなく、成果物を共有および公開できます。
トレンドは明らか
データ侵害の時代が収束に向かわないのは、それを生み出す条件が激化しているためです。より多くのデータが収集され、より多くのシステムが接続され、より多くのエージェントがより多くのアカウントへのアクセスを許可されています。新しい統合、新しいサービス、新しいAIツールが登場するたびに、アタックサーフェスは拡大しています。
これはテクノロジーの使用をやめるべきだという意味ではありません。どのテクノロジーを使用するか、どの程度のデータを公開するか、そしてそのデータがどこにあるかについて、慎重になるべきだという意味です。このような環境で最も有利に立ち回れる組織や個人は、データセキュリティを評価すべき単なる機能としてではなく、構築の基盤となる原則として扱う人々でしょう。
データ侵害は今後も続くでしょう。しかし、被害に遭うリスクを同じペースで増やす必要はありません。
よくある質問
2024年には何件のデータ侵害が発生しましたか？
正確な件数は情報源や定義によって異なりますが、追跡機関は2024年に公表された何千件ものデータ侵害を記録しています。より重要な指標はその規模です。今年の上半期だけで10億件以上のレコードが流出しており、個別のインシデントでそれぞれ数千万、あるいは数十億のレコードに影響が及んだものも複数あります。
2024年最大のデータ侵害は何でしたか？
National Public Dataのデータ侵害では約29億件のレコードが流出し、記録史上最大規模のデータ侵害の1つとなりました。また、盗まれた認証情報を介してTicketmaster、Santander、その他の企業に影響を与えたSnowflake関連のデータ侵害も、影響を受けた組織や個人の数において最も重大なものの1つでした。
サプライチェーン攻撃とは何ですか？
サプライチェーン攻撃とは、他の組織が依存しているツール、サービス、またはソフトウェアコンポーネントをターゲットとする攻撃です。最終的なターゲットを直接攻撃するのではなく、サプライヤーや依存関係にある要素を侵害します。2023年のMOVEitのデータ侵害はその明確な例です。1つのファイル転送ツールの脆弱性が、それを直接またはベンダーを通じて使用していた2,600以上の組織に連鎖的に影響を与えました。
AIエージェントはどのようにしてデータ侵害のリスクを高めるのですか？
AIエージェントが機能するためには、通常、アカウント、ファイル、サービスへの広範なアクセスが必要になります。各エージェントの接続は、セキュリティを確保しなければならない追加の統合ポイントとなります。エージェントのプロバイダーが侵害されたり、エージェントの認証情報が盗まれたりした場合、攻撃者はエージェントがアクセス可能なすべてのものにアクセスできるようになります。エージェントの認証や権限の範囲設定に関する標準は、まだ発展途上です。
クレデンシャルスタッフィングとは何ですか？
クレデンシャルスタッフィング（資格情報詰め込み）とは、あるデータ侵害で盗まれたユーザー名とパスワードのペアを使用して、他のサービスへのログインを試みる攻撃手法です。多くの人が複数のアカウントでパスワードを使い回しているため、これらの自動化された攻撃は頻繁に成功します。2024年のSnowflake関連のデータ侵害は、主に盗まれた認証情報と多要素認証の欠如によって引き起こされました。
暗号化はデータ侵害を防げますか？
暗号化はデータ侵害そのものを防ぐことはできませんが、その影響を大幅に抑えることができます。盗まれたデータが適切に暗号化されていれば、攻撃者は暗号化キーなしで内容を読み取ることはできません。保存時の暗号化（データが保管されているとき）と転送時の暗号化（データが送信されているとき）はどちらも重要です。すべてのサービスが両方を実装しているわけではありません。
個人のデータ露出を減らすにはどうすればよいですか？
ファイルを多くのサービスに分散させるのではなく、少数のしっかりと保護されたシステムに統合してください。使わなくなったアカウントは削除してください。利用可能なすべての場所で多要素認証を有効にしてください。使用するサービスのプライバシーポリシー（特にデータ保持やAIのトレーニングに関する項目）を確認してください。アカウントへのアクセスを許可するアプリやエージェントを慎重に選択してください。
チームがデータ侵害のリスクを減らすためにすべきことは何ですか？
承認されたツールやデータの共有に関する明確なポリシーを設定してください。サードパーティ製インテグレーションやエージェントの接続数を最小限に抑えてください。強力な暗号化と透明性の高いデータ取り扱いを行うプラットフォームを使用してください。すべてのサービスで多要素認証を有効にしてください。AIエージェントや自動化ワークフローなどを中心に、アクセス権限を定期的に監査してください。ファイルを一貫したセキュリティ管理がなされた単一のワークスペースに統合することで、潜在的な侵入口の数を減らすことができます。
関連ページ
その他のブログ記事:
The Creative's Cold Start Problem
How to Stop Losing Momentum Between Study Sessions
Your Future Self Can't Read Your Mind
The Hemingway Bridge: Stop Working So You Can Start Again
Your ERP Has the Answers. Nobody Can Find Them.
The Usability Layer Your Business Systems Are Missing
手書きノート対デジタルノート：どちらか一方を選ぶ必要はありません
手書きのメモが検索できない理由（とその対策）