攻撃概要──SaaS連携プロバイダの侵害が大量データ流出を引き起こした

サイバー犯罪グループ「ShinyHunters」が、SaaS連携プロバイダ（Anodot社）のシステムを侵害し、そこに保管されていた認証トークンを窃取することで、Snowflakeをはじめとする複数のクラウドサービスの顧客データを大量に窃取した事件が発生した。

この攻撃の核心は、直接標的を攻撃するのではなく、SaaS同士を「つなぐ」連携プロバイダを経由してデータを窃取した点にある。中小企業がSaaS連携を活用する際に見落としがちなサプライチェーンリスクを浮き彫りにした事例だ。

項目内容
攻撃グループShinyHunters（データ窃取・販売を専門とするサイバー犯罪グループ）
侵害されたプロバイダAnodot社（SaaS連携・データ分析プロバイダ）
窃取対象認証トークン（OAuth トークン、APIキー、セッションキー等）
影響を受けたサービスSnowflake、その他複数のクラウドサービスの顧客環境
被害規模複数企業の数億件規模のレコードが窃取されたと報告
攻撃手法サプライチェーン攻撃（連携プロバイダ経由の間接攻撃）

ShinyHuntersの手口──認証トークンを狙う理由

ShinyHuntersは2020年頃から活動が確認されているデータ窃取専門のサイバー犯罪グループだ。盗んだデータをダークウェブのマーケットプレイスで販売して収益を得るビジネスモデルを持つ。

従来の手口

ShinyHuntersの過去の攻撃では、GitHubリポジトリからの認証情報窃取、クラウドストレージの設定ミスの悪用、フィッシングによる認証情報の取得などが主な手法だった。

今回の手口：サプライチェーン経由の認証トークン窃取

今回の攻撃は、従来の手口から大きく進化している。

  1. 連携プロバイダの侵害：Anodot社のシステムに侵入し、同社が顧客のSaaS環境と連携するために保管していた認証トークンを窃取
  2. トークンの悪用：窃取した認証トークンを使い、Snowflake等のクラウドサービスに正規ユーザーとしてログイン
  3. 大量データの窃取：正規の認証情報でアクセスしているため、異常検知をすり抜けやすい状態でデータをダウンロード
  4. データの販売：窃取したデータをダークウェブ上で販売

攻撃の巧妙さ： 被害企業から見ると、「正規の連携サービス経由のアクセス」と区別がつかないため、検知が極めて困難だ。認証トークンにはMFAの再要求が発生しないケースが多く、一度トークンを窃取すればMFAを迂回して長期間アクセスできてしまう。

SaaS連携のリスク──なぜ「つなぐ」ことが危険なのか

中小企業においても、kintone、Salesforce、freee、マネーフォワード、Google Workspace等のSaaSをAPI連携やiPaaS（Zapier、Make等）で接続するケースは増えている。この「つなぐ」行為には以下のリスクが伴う。

リスク1：過剰な権限の付与

SaaS連携時に「全データへの読み書き権限」を安易に付与するケースが多い。本来必要なのは「特定テーブルの読み取り権限」だけであっても、設定の手軽さから広い権限を付与してしまいがちだ。連携先が侵害された場合、この過剰な権限がそのまま攻撃者に渡る。

リスク2：認証トークンの長期保管

SaaS連携に使用されるOAuthトークンやAPIキーは、有効期限が設定されていないか、数か月〜無期限に設定されていることが多い。一度発行されたトークンがローテーションされずに放置され、退職者が設定した連携がそのまま残っているケースも珍しくない。

リスク3：連携先の管理不備

自社のセキュリティが万全でも、連携先のSaaSプロバイダが侵害されれば、自社のデータが流出する。今回のAnodot社のケースでは、連携先プロバイダのセキュリティレベルが自社のリスクに直結することが証明された。

リスク4：棚卸しの困難さ

SaaS連携は、事業部門やエンジニアが個別に設定するケースが多く、IT部門が全体像を把握していないことが多い。「どのSaaSが、どのSaaSと、どの権限で接続されているか」を正確に把握している中小企業は少数派だ。

対策チェックリスト──SaaS連携のリスクを最小化する

1. API権限の最小化（Least Privilege）

対策具体的なアクション
権限の見直し全てのSaaS連携のAPI権限を確認し、必要最小限に絞る
スコープの制限OAuth連携の場合、要求するスコープを必要なものだけに限定する
読み取り専用の原則データ参照目的の連携は「読み取り専用」権限にする
管理者権限の排除連携用のアカウントに管理者権限を付与しない

2. トークンローテーションの実施

対策具体的なアクション
有効期限の設定APIキー・OAuthトークンに最大90日の有効期限を設定する
定期ローテーション四半期ごとにトークンを再発行し、古いトークンを無効化する
退職者対応退職者が設定した連携のトークンを即時無効化するプロセスを策定する
未使用トークンの棚卸し90日以上使用されていないトークンを特定し、無効化する

3. SaaS連携の棚卸し

対策具体的なアクション
連携マップの作成「SaaS A → 連携プロバイダ → SaaS B」の形式で全連携を可視化する
定期棚卸し半年に1回、全SaaS連携を棚卸しし、不要な連携を削除する
承認プロセスの導入新規のSaaS連携はIT部門の承認を必須にする
シャドーIT対策事業部門が独自に設定した連携がないか、OAuthアプリ一覧から確認する

4. CASB（Cloud Access Security Broker）の導入検討

CASBは、SaaS利用状況の可視化、不正アクセスの検知、データ流出の防止を行うセキュリティソリューションだ。

CASBの主な機能内容
可視化社内で利用されている全SaaSとAPI連携を自動検出
アクセス制御SaaSへのアクセスをデバイス・場所・時間帯で制御
異常検知通常と異なるデータアクセスパターンを検知してアラート
DLP機密データのダウンロード・外部共有を防止
中小企業向けには、Microsoft Defender for Cloud Apps（Microsoft 365 E5に含まれる）やNetskope、Zscalerなどの選択肢がある。フル機能のCASBが予算的に難しい場合でも、Google WorkspaceやMicrosoft 365の管理画面からOAuthアプリの一覧を確認し、不審なアプリを削除するだけでもリスクは軽減できる。

よくある質問（FAQ）

Q. 中小企業でもSaaS連携経由の攻撃を受けるリスクはありますか？

ある。ShinyHuntersの攻撃は大企業のSnowflake環境が主な標的だったが、同じ連携プロバイダを利用していた中小企業も影響を受けている。SaaS連携を1つでも利用している企業であれば、規模に関係なくリスクは存在する。

Q. Zapier、Make（旧Integromat）等のiPaaSも危険ですか？

iPaaS自体が即座に危険というわけではないが、iPaaSに保管されている認証情報が窃取された場合の影響は大きい。iPaaSは複数のSaaSの認証トークンを一か所に集約しているため、攻撃者にとっての「鍵の束」になり得る。iPaaSのアカウントにはMFAを必ず設定し、管理者アカウントのアクセスを厳格に制限すべきだ。

Q. トークンローテーションの頻度はどの程度が適切ですか？

一般的な推奨は90日ごとだ。ただし、機密性の高いデータにアクセスする連携（財務データ、個人情報等）については30日ごとのローテーションが望ましい。自動ローテーションの仕組みを構築できない場合は、カレンダーにリマインダーを設定して手動で実施する。

Q. 自社のSaaS連携の全体像をどうやって把握すればよいですか？

まず各SaaSの管理画面から「接続済みアプリ」「OAuthアプリ」「APIトークン」のリストを出力する。Google Workspaceであれば管理コンソール → セキュリティ → API制御 → サードパーティアプリのアクセスから確認できる。Microsoft 365であればMicrosoft Entra ID → エンタープライズアプリケーションから一覧が確認可能だ。

まとめ──「自社だけ守っても守れない」時代の対策

ShinyHuntersによるSaaS連携プロバイダ経由の攻撃は、自社のセキュリティだけでは自社のデータを守れないという現実を突きつけた。SaaSを「つなぐ」ことで生産性を高める一方、「つなぐ」こと自体がリスクの連鎖を生む。

今すぐ実行すべきアクションは以下の4つだ。

  1. 今日：自社が利用しているSaaS連携の一覧を確認し、棚卸しを開始する
  2. 1週間以内：全連携のAPI権限を確認し、過剰な権限を削除する
  3. 1か月以内：トークンローテーションのルールを策定し、運用を開始する
  4. 四半期ごと：SaaS連携の棚卸しを定期実施し、不要な連携を削除する

GXO実務追記: AI開発・生成AI導入で発注前に確認すべきこと

この記事のテーマは、単なるトレンド紹介ではなく、業務選定、データ整備、セキュリティ、PoCから本番化までの条件を決めるための検討材料です。検索で情報収集している段階でも、発注前に次の観点を整理しておくと、見積もりのブレ、手戻り、ベンダー依存を減らせます。

まず決めるべき3つの論点

論点確認する内容未整理のまま進めた場合のリスク
目的売上拡大、工数削減、リスク低減、顧客体験改善のどれを優先するか成果指標が曖昧になり、PoCや開発が終わっても投資判断できない
範囲対象部署、対象業務、対象データ、対象システムをどこまで含めるか見積もりが膨らむ、または重要な連携が後から漏れる
体制自社責任者、現場担当、ベンダー、保守運用者をどう置くか要件確認が遅れ、納期遅延や品質低下につながる

費用・期間・体制の目安

フェーズ期間目安主な成果物GXOが見るポイント
事前診断1〜2週間課題整理、現行確認、投資判断メモ目的と範囲が商談前に整理されているか
要件定義 / 設計3〜6週間要件一覧、RFP、概算見積、ロードマップ見積比較できる粒度になっているか
PoC / MVP1〜3ヶ月検証環境、効果測定、リスク評価本番化判断に必要な数値が取れるか
本番導入3〜6ヶ月本番環境、運用設計、教育、改善計画導入後の運用責任と改善サイクルがあるか

発注前チェックリスト

  • [ ] AIで置き換える業務ではなく、成果が測れる業務を選んだか
  • [ ] 参照データの所有者、更新頻度、権限、機密区分を整理したか
  • [ ] PoC成功条件を精度、時間削減、CV改善、問い合わせ削減などで数値化したか
  • [ ] プロンプトインジェクション、個人情報、ログ保存、モデル選定のルールを決めたか
  • [ ] RAG/エージェントの回答を人が監査する運用を設計したか
  • [ ] 本番化後の費用上限、API使用量、障害時フォールバックを決めたか

参考にすべき一次情報・公的情報

上記の一次情報は、社内稟議やベンダー比較の根拠として使えます。一方で、公開情報だけでは自社の現行システム、業務フロー、データ状態、予算制約までは判断できません。記事で一般論を把握した後は、自社条件に落とした診断が必要です。

GXOに相談するタイミング

次のいずれかに当てはまる場合は、記事を読み進めるだけでなく、早めに相談した方が安全です。

  • 見積もり依頼前に、要件やRFPの粒度を整えたい
  • 既存ベンダーの提案が妥当か第三者視点で確認したい
  • 補助金、AI、セキュリティ、レガシー刷新が絡み、判断軸が複雑になっている
  • 社内稟議で費用対効果、リスク、ロードマップを説明する必要がある
  • PoCや診断で終わらせず、本番導入と運用改善まで進めたい

SaaS連携プロバイダ経由の大量データ窃取｜ShinyHuntersの認証トークン窃取手口と対策を自社条件で診断したい方へ

GXOが、現状整理、RFP/要件定義、費用対効果、ベンダー比較、導入ロードマップまで実務目線で確認します。記事の一般論を、自社の投資判断に使える形へ落とし込みます。

AI/RAG導入診断を相談する

※ 初回相談では営業資料の説明よりも、現状・課題・判断材料の整理を優先します。

関連記事

SaaS連携のセキュリティリスク、可視化できていますか？

GXOでは、企業のSaaS連携状況を可視化し、認証トークンの管理状態、API権限の過不足、不要な連携の特定を行う「SaaS連携セキュリティ診断」を提供しています。サプライチェーンリスクの把握から、トークン管理ルールの策定まで対応します。

SaaS連携セキュリティ診断を申し込む

※ オンライン完結OK ｜ まずは現状把握から ｜ 無料相談受付中