Proton独自のデータ侵害防止ガイドを含め、侵害防止に関するアドバイスの多くは、攻撃者を企業のネットワークに侵入させないことに重点を置いています。より強力な認証情報の使用、フィッシング耐性、パッチ適用済みのシステム、審査済みのサプライヤーはすべて、この対策の主要な要素です。これらはすべて不可欠な対策ですが、唯一のデータ侵害対策であってはなりません。攻撃者がネットワークへの侵入に成功した場合、それらはサポートにはなりません。
アクセス権の獲得とデータの窃盗は異なります。ひとつの受信トレイ、ひとつのノートパソコン、またはひとつのサプライヤー接続を侵害した攻撃者は、まだ何も盗んでいません。彼らは足がかりを得たに過ぎず、その足がかりからデータが外部に持ち出されるまでの間に何が起きるかというフェーズは、ほとんどの中小企業向けセキュリティガイダンスで完全にスキップされています。なぜなら、これは単にネットワークを保護するだけでなく、データが外部に移動されていることに気づくことでもあるからです。
このフェーズはデータ持ち出しと呼ばれ、通常は検知されないまま数日、あるいは数か月にわたって続くこともあります。これは、特に監視していない人にとっては完全に普通に見えるツールやチャンネルが使われるために起こります。侵害通知が遅れることが多いのは、組織が初期の侵害に対して不注意だったからではなく、企業ネットワーク内で攻撃者が検知されなかったからです。
データ持ち出しフェーズ：アクセスから窃盗までに何が起きるか
フィッシングメール、盗まれた認証情報、侵害されたサプライヤー接続のいずれであっても、攻撃者は最初のアクセス権を得た後、すぐにデータの窃盗に移行することはほとんどありません。すぐに行動を起こすと、盗む価値のあるものを見つける前にアラートがトリガーされるリスクがあるため、時間をかけるのが一般的なパターンです。
攻撃者は時間をかけて環境を調査し、マッピングします。これには以下が含まれます:
- 財務記録がどこに保管されているか
- どのSaaSツールに顧客データが含まれているかの評価
- 最も広範なアクセス権を持つアカウントの特定
- アクティビティ監視が実施されているかどうかの検出
この偵察段階には時間がかかることがあります。特に隠密性よりもスピードが重視される日和見的なランサムウェア攻撃の場合、数時間以内に行動する攻撃者もいます。一方で、長期的なデータ窃盗やスパイ活動を目的とするケースでは、攻撃者は数週間から数か月にわたって潜伏し、通常の活動パターンを十分に学習してその中に紛れ込みます。
いずれの場合も、攻撃者がデータの持ち出しを開始する頃には、通常、何が欲しいのか、どのアカウントやシステムを使えばアラームを鳴らさずに持ち出せるのかを正確に把握しています。
データ持ち出しの実態
悪意のあるデータ持ち出しを発見するのは困難です。なぜなら、日常的な業務活動のように見えるからです。IT管理者は、通常よりもわずかに大きなファイル転送や、本来同期されるべきではない場所に同期されたフォルダーを常に探しているわけではありません。
大規模または異常なデータ転送
これはデータ持ち出しの最も直接的な形態です。たとえば、通常はたまにしかアクセスしないファイルサーバーやデータベースからアカウントが突然ギガバイト単位のデータを取得したり、CRMや人事プラットフォームから一括エクスポートを行ったりすることが挙げられます。
SaaSを多用する環境では、多くの場合、プラットフォーム独自のエクスポート機能を通じてデータの持ち出しが行われます。CSVの一括ダウンロード、顧客記録のPDFエクスポート、あるいはエクスポートボタンがまったくないダッシュボードの連続したスクリーンショット撮影などです。
典型的なケースとしては、侵害された人事アカウントが使用され、一度に目立つような一括ダウンロードを行うのではなく、数週間にわたって従業員記録を少量ずつ分散してエクスポートするような場合です。個々のエクスポート自体はごく普通に見え、人事プラットフォームにおいてその役割の担当者が行う範囲内に十分に収まっています。
何が起きているかを明らかにするのは、同じアカウントが不規則な間隔で同様のデータをエクスポートしているという数週間にわたるパターンだけであり、そのパターンはそれを意識して探している企業にしか見えてきません。
受信トレイの侵害
ビジネスメールのメールボックスを侵害した攻撃者は、すべてのメッセージ、または特定のキーワードに一致するすべてのメッセージを外部のアドレスにひそかにコピーするルールをセットアップできます。これにより、最初のフィッシングメールが忘れ去られたずっと後でも、機密性の高いやり取りを継続して取得し続けることができます。
クラウドストレージの侵害
個人のクラウドストレージもよく使われる経路です。従業員の侵害されたノートパソコンや、企業ファイルへのアクセス権を持つ侵害されたアカウントを使用して、個人のDropbox、Google Drive、または同様のサービスにドキュメントをコピーできます。データの送信先を確認していない限り、この転送は正当なファイルバックアップとまったく同じように見えることがよくあります。
データ持ち出しの検知はなぜ困難なのでしょうか？
データ持ち出しに関する不都合な真実とは、通常、マルウェア(新しいウィンドウ)をまったく必要としないということです。侵害されたアカウントを使用してレポートをエクスポートしたり、メールを転送したり、クラウドドライブにファイルをアップロードしたりする攻撃者は、正当な従業員が日々使用しているのと同じツールと権限を使用しています。
アンチウイルスソフトウェアが警告を発するような不審な実行可能ファイルも、エンドポイント検出が捕捉するような異常なプロセスもありません。技術的には何ら異常なアクティビティではないからです。それは文脈においてのみ不自然に見えるものであり、まさにその文脈こそが、ほとんどの中小企業向けセキュリティツールでは評価できないように設計されている部分です。
これが、境界重視の防御がどれほど適切に実装されていても、それ単体では不十分である理由です。企業が侵入ポイントで適切な対策をすべて行い、強力な認証情報を強制し、フィッシングに対する従業員トレーニングを行い、すべてのシステムにパッチを適用したとしても、侵害されたアカウントが外部の宛先に着実にファイルを移動していることを知る術はありません。そもそもそのアクティビティは不審に見えないように行われているからです。
セキュリティ研究者はこれを「環境寄生型」と呼ぶことがあります。アンチウイルス製品が不正と認識するようなツールを使用するのではなく、標的自身の正当なソフトウェア、クラウド連携、管理ツールを使用する手法です。
ファイル同期クライアント、組み込みのエクスポート機能、標準的なメールルールなどは、それ自体は悪意のあるツールではありません。だからこそ、これらを悪用する攻撃者は、マルウェアを捕捉するために設計されたツールを作動させることなく、長期間にわたって活動を続けることができるのです。
企業が監視すべき項目
データ持ち出しを早期に検知する鍵は、不審なアクティビティを広範にスキャンするのではなく、少数の特定のシグナルを監視することにあります。
トラフィックとエクスポート
異常なデータ転送量や転送先には細心の注意を払う必要があります。お客様の組織は、送信トラフィックの急増、通常は見られないシステムからの一括エクスポート、または見覚えのない宛先への転送を監視する必要があります。
データセキュリティに関するNCSCのガイダンス(新しいウィンドウ)では、機密データへのアクセスログの記録と、異常なクエリや一括エクスポートの試行の監視を明確に推奨しています。まさにそのパターンこそが、通常の使用範囲を超えた何かが起きている兆候だからです。
メール転送ルール
特にフィッシングの疑いがあるインシデントに関与したアカウントについては、メール転送ルールを直接監査する価値があります。見覚えのないアドレスにメッセージを密かに転送するルールは何ヶ月も気づかれないまま放置される可能性がありますが、確認するポイントさえ知っていれば最も簡単にチェックできる項目のひとつです。
異常なログイン
予期しない位置や時間帯からのログインアクティビティは、真剣に受け止めるべきシグナルです。深夜3時に事業拠点のない国からログインがあったとしても、それ単体では決定的な証拠にはなりませんが、同時期に行われたデータ転送と相互参照することで、インシデントを確認できる重要な詳細情報となります。
営業時間外の管理者アカウントのアクティビティは特に精査する必要があります。管理者アカウントは通常、システム内で最も広範な権限を持っており、まさにその権限の広さゆえに攻撃者の標的になりやすいからです。
深夜、週末、または実際の管理者が不在であることがわかっている期間におけるこれらのアカウントのアクティビティは、デバイスだけでなくアカウントそのものが侵害されたことを示す信頼性の高い指標のひとつです。
早期検知が法的立場をどのように変えるか
EU GDPRと英国GDPRの双方において、第33条(新しいウィンドウ)は、個人データに影響を及ぼす侵害が発生したことを認識してから72時間以内に、関連する監督機関、すなわち英国のICO(新しいウィンドウ)または各EU加盟国の国内データ保護機関へ通知することを組織に義務付けています。
この要件はどの法域でも実質的に同じです。お客様の組織にとってのカウントダウンは、侵害が実際に発生した瞬間からではなく、認識した瞬間から始まります。徹底した持ち出し監視が、セキュリティだけでなくコンプライアンスにとっても非常に重要である理由はここにあります。
転送ルールの監査、転送の監視、または異常なログインアラートによってデータの持ち出しを早期に検知した企業は、何が持ち出されたかを合理的に明確に把握した上で、自社のタイムラインでプロアクティブに通知を行うことができます。
数週間または数か月後に初めて侵害を発見した企業は、多くの場合、顧客からの苦情や犯罪フォーラムに盗まれたデータが浮上したことがきっかけであり、プレッシャーの中でリアクティブに通知することになり、被害範囲の全体像が不完全なまま、規制当局からなぜ気づくのにそれほど時間がかかったのかを問われることになります。
この違いは、企業の評判への影響にとどまりません。インシデント全体がどのように評価されるか、そして規制当局がどれほどの裁量・配慮を与えるかに影響を及ぼします。
持ち出された企業データはどうなるのか？
ProtonのData Breach Observatoryは、侵害発生後にダークウェブ上に浮上したデータを追跡しており、そのパターンはデータ持ち出しの真の標的が何であるかを把握するための有用な現実的指標となります。
2026年Data Breach Observatory更新情報によると、追跡された侵害のほぼ十件中九件に名前とメールアドレスが含まれており、電話番号や住所などの連絡先の詳細は約四分の三に表示され、パスワードは半数近くで流出しています。
政府発行の身分証明書、健康記録、その他の個人を特定できる情報など、より機密性の高いカテゴリは侵害の三分の一強に出現し、直接的な財務情報は約二十件に一件というより少ない割合で表示されます。
Observatoryが追跡している侵害の大多数を中小企業が占めており、最も機密性の高いデータカテゴリが関与するインシデントにおいて不釣り合いに高い割合を示しています。
頻繁に標的にされることと機密データの漏洩率が高いというこの組み合わせは、この記事で説明しているデータ持ち出しのタイプと一致しています。小規模な組織のシステム内で長期間にわたって行われる攻撃は、データが漏洩していることに誰も気づかず攻撃者がすべてを持ち出すことができるため、より多くの見返りをもたらす傾向があります。
攻撃者がアクセスできる範囲の封じ込め
持ち出しの監視は持ち出されようとしているデータを捕捉しますが、問題の大きさはそれ以前に、侵害されたアカウントがそもそもどこまでアクセスできるかによって決まります。広範で無制限の権限を持つアカウントへのアクセス権を得た攻撃者は、特定の役割に必要な範囲に厳密に限定されたアカウントを侵害した攻撃者よりも、はるかに多くのシステムからデータを取得できます。
すべてのアカウントに固有の認証情報を設定し、役割が真に必要とするものだけにアクセスを制限することで、データ持ち出しのリスク対象領域を直接縮小できます。侵害されたマーケティングアカウントがマーケティングシステムにしかアクセスできない場合、攻撃者の自制や監視システムがタイムリーに検知することに依存するのではなく、設計上最悪のシナリオが限定されます。
これは、認証情報に基づく侵害において影響範囲を制限する一般的な封じ込めロジックと同じです。侵害されたアカウントが漏洩できるのは、正当にアクセスが許可されていたものだけに限定されるべきです。
Proton Pass for Businessのようなビジネス向けパスワードマネージャーを使用すると、固有の認証情報を手作業で管理するのが困難だからという理由で、複数のツール間で広範な権限を持つ便利な認証情報を使い回したくなる誘惑を排除できるため、このような権限範囲の限定を現実的に維持できます。
すべてのアカウントが独自の認証情報を持ち、役割が実際に必要とするものに照らしてアクセスが見直されていれば、単一のアカウントが侵害されても組織全体のデータへの経路とはならず、最悪の場合でも封じ込められたインシデントにとどまります。
Proton Pass for Businessはお客様のビジネスを以下のようにサポートできます:
- パスワード要件、必須の二要素認証 (2FA)、失効したデータ共有ルールによってパスワードポリシーの適用を支援するカスタマイズ可能なチームポリシー
- 高度な高セキュリティプログラムProton Sentinelの追加サポートにより、ネットワーク内のアクティビティを確認できる使用ログ
- 役割、プロジェクト、アクセスレベルごとに編成されたグループにより、アクセス管理を簡素化し、すべてのチームメンバーが必要なものにのみアクセスできるようにします。
ビジネス向けパスワードマネージャー で、認証情報に基づくデータ持ち出しを防止しましょう。
