【ITニュース解説】Salesloft says Drift customer data thefts linked to March GitHub account hack

企業向けの営業・マーケティングツールを提供するSalesloft社が、同社傘下のDrift社の顧客データが不正にアクセスされ、盗み出されたことを公表した。この事件の根本的な原因は、約6ヶ月前に発生した、ソフトウェア開発の現場で広く利用されているプラットフォーム「GitHub」のアカウントへの不正アクセスに遡る。この一件は、システム開発の裏側にあるインフラのセキュリティがいかに重要であるか、そして、一度の侵害が長期にわたって深刻な被害をもたらす危険性があることを示している。システムエンジニアを目指す上で、この事件から得られる教訓は非常に大きい。

まず、事件に関わる二つの企業について説明する。Salesloftは、企業の営業活動を効率化するためのソフトウェア（セールスエンゲージメントプラットフォーム）を提供している。一方のDriftは、ウェブサイトに訪れた顧客とリアルタイムで対話するためのチャットボットや会話型AIを提供する企業で、過去にSalesloftに買収された経緯がある。両社とも、多くの企業の顧客情報や営業戦略に関わる機密データを扱っている。今回の事件では、このDriftが保有する顧客の個人情報や企業のデータが攻撃者の手に渡ったとされている。

この大規模なデータ侵害の引き金となったのは「GitHubアカウントのハッキング」である。GitHubは、世界中のソフトウェア開発者がプログラムのソースコードを保存、管理、共有するために利用するプラットフォームだ。エンジニアにとっては、自らが書いたコードを保管する金庫のような存在であり、チーム開発を行う上では不可欠なツールとなっている。しかし、その利便性の裏には大きなリスクも存在する。ソースコードには、システムの設計情報だけでなく、他のシステムやデータベースに接続するための「認証情報」、例えばAPIキーやパスワードなどが含まれてしまうことがあるからだ。攻撃者にとって、GitHubは企業のシステムの「設計図」と「金庫の鍵」が同時に手に入る、非常に価値の高い標的なのである。

今回の事件の攻撃者は、まず3月にSalesloftの従業員が使用していたGitHubアカウントへの不正アクセスに成功した。どのような方法でアクセス権を奪ったかの詳細は明らかにされていないが、フィッシング詐欺やパスワードの使い回しなどが考えられる。GitHubリポジトリ（ソースコードの保管庫）への侵入に成功した攻撃者は、そこからDriftのシステム環境にアクセスするための認証情報を探し出し、窃取した。この盗み出した正規の認証情報、いわば「合鍵」を使って、攻撃者はDriftのシステムに堂々と侵入した。正規のアクセス権限を持つユーザーになりすましていたため、その後の活動は通常の業務アクセスと見分けがつきにくく、長期間にわたって発覚を免れることになった。

この事件で最も問題視されている点の一つが、3月の不正アクセスからデータ侵害が発覚する9月までの間に6ヶ月もの期間が経過していることだ。この遅れは、企業のセキュリティ体制における重大な課題を浮き彫りにしている。正規の認証情報を使ったアクセスは、一般的な不正アクセス検知システムでは異常として検知しにくい。しかし、本来アクセスする必要のない場所からの通信や、深夜帯など通常業務では考えられない時間帯のアクセス、あるいは異常に大量のデータ転送といった兆候を捉えることは可能だ。これを実現するためには、システム内で「誰が、いつ、どこから、何をしたか」という操作ログを詳細に記録し、常時監視する仕組みが不可欠となる。今回の事件は、こうしたログ監視や異常検知の仕組みが十分に機能していなかった、あるいは攻撃者の活動が極めて巧妙で検知をすり抜けてしまった可能性を示唆している。

この事件は、未来のシステムエンジニアにとって多くの重要な教訓を含んでいる。第一に、「認証情報の厳格な管理」である。APIキーやパスワードといった機密情報をソースコードの中に直接書き込む「ハードコーディング」は、絶対に避けなければならない基本的なセキュリティ対策だ。これらの情報は、コードとは完全に分離し、「シークレット管理ツール」と呼ばれる専用の仕組みで安全に管理・運用することが現代のシステム開発では常識となっている。第二に、「開発環境そのもののセキュリティ強化」の重要性だ。GitHubをはじめとする開発ツールのアカウントには、パスワードだけでなく、スマートフォンアプリなどで生成される一時的なコードの入力を求める「二要素認証（2FA）」を必ず設定すべきである。これにより、万が一パスワードが漏洩しても、不正アクセスを防ぐことができる。第三に、「最小権限の原則」の徹底である。開発者には、担当業務を遂行するために必要な最低限のアクセス権限のみを付与することが重要だ。これにより、一つのアカウントが侵害されたとしても、被害の範囲を限定的に抑えることが可能になる。最後に、システムは開発して終わりではないという「運用・監視の視点」を持つことだ。システムが稼働した後のログをどう収集し、どう監視して異常を検知するかというセキュリティ運用までを設計段階から考慮に入れることが、堅牢なシステムを構築する上で不可欠である。

SalesloftとDriftのデータ侵害事件は、開発インフラの脆弱性が企業の根幹を揺るがす大規模なセキュリティインシデントに直結することを示す典型例だ。攻撃者は巧妙に正規の認証情報を悪用し、長期間にわたって潜伏した。システムエンジニアを目指す者は、プログラミング技術を磨くだけでなく、自らが開発するシステムと、それを取り巻く環境全体のセキュリティを常に意識する必要がある。安全な認証情報の管理、多要素認証の導入、権限の適切な設定、そして継続的な監視といった地道な対策の積み重ねこそが、こうした深刻な事態を防ぐための最も確実な方法なのである。