ShinyHuntersがSaaS分析基盤Anodot経由でRockstar GamesのSnowflakeを侵害、7860万件流出を主張

「自社のSnowflakeは多要素認証で守ってるけど、第三者ツールから漏れることもあるの？」
「コスト監視のSaaSが攻撃の入り口になるって、どういうこと？」

チップス

ボス！
GTAで有名なRockstar Gamesが7860万件のデータ漏洩を出されたって聞いたでしゅ。
しかも入り口は別のSaaSツールからだったって…！

ボス

「自社のクラウドは堅い」と思っていても、繋がっている第三者SaaSのトークンが奪われれば、全部素通りだ。
SaaS連携の見直しは、もう待ったなしだな。

2026年4月11日、攻撃グループShinyHuntersが、ゲーム大手Rockstar GamesのSnowflake環境への侵入を主張し、4月14日のランサム期限を経てデータをリークサイトに公開しました。
Hackreadの報道によれば、入り口になったのはクラウドコスト監視SaaSの「Anodot」でした。

SaaS連携経由で本体クラウドが落ちる構造と、企業がいま見直すべきトークン管理を解説します。

事件の経緯と侵入経路

ShinyHuntersは2024年のSnowflake大量侵害（Ticketmaster 5億6000万件など）でも知られる攻撃グループです。

Anodot経由でSnowflakeに到達した手口

Anodotはクラウドコスト監視・分析を行うSaaSで、SnowflakeなどのデータウェアハウスにAPIトークンで接続します。
攻撃者はAnodot側からこのトークンを抜き取り、信頼済みクレデンシャルとしてSnowflake環境にアクセスしました。
Snowflake自体に脆弱性は存在せず、Snowflake側からは「正規ユーザーのアクセス」と区別がつかないため、検知も防御も極めて困難でした。

ShinyHuntersは過去にもSalesforce連携経由で400以上の組織へ侵入しており、CiscoやEU欧州委員会も被害を受けています。
Rockstarは「限定的な非機密情報」と発表していますが、漏洩量と業界への影響は今後の調査次第です。

チップス

正規のトークンで入られたら、ログだけ見ても普通のアクセスにしか見えないってことでしゅよね…！

ボス

その通りだ。
「誰がトークンを使っているか」ではなく「どこから、どのデータを、どのくらい引き出したか」を監視しないと検知できない。
守りの軸を変えろ。

SaaS連携トークン窃取の仕組みと打つべき手

本件はSaaS同士の信頼チェーンが攻撃者に「素通り経路」を提供してしまう典型例です。

第三者SaaS連携の見直しポイント

多くの企業はSnowflake本体には多要素認証やIPホワイトリストを設定していますが、Anodotのような外部SaaSが持つAPIトークンは見落とされがちです。
攻撃者は「本体ではなく周辺から」侵入する戦術を確立しており、SaaS連携の棚卸しと最小権限化が急務になっています。
Snowflakeは2024年以降、ネットワークポリシーやMFA強制機能を強化していますが、外部SaaS側でトークンが漏れた場合、これらは無力です。

SaaS統合の便利さの裏にある「信頼の連鎖」を可視化することが、第二、第三のRockstar事件を防ぐ第一歩です。

チップス

うちの会社、Slack連携とかGitHub連携とか、何個入れてるか把握してないでしゅ…。
明日棚卸しリストを作るでしゅ！

ボス

いいぞ。
権限の付け過ぎを発見したら、その場で削れ。
「使われていない権限はリスクでしかない」と覚えておけ。

まとめ

Rockstar Games事件は、Snowflakeのような中核データ基盤がいくら堅牢でも、連携する第三者SaaSのトークンが奪われれば容易に侵入されることを示しました。
SaaS連携の棚卸し、最小権限化、異常クエリ監視の3点を、自社のクラウド資産すべてに対して実施してください。
「信頼の連鎖」を可視化することが、SaaS時代の防御の出発点です。