報告書によると、「2024年時点で最も一般的な侵入ポイントは、認証情報が脆弱（ぜいじゃく）だったり、認証情報が存在しなかったりするクラウドサービスのアカウントだ」という。

　報告書が対象にしたのは2024年の下半期の状況だ。Google Threat Intelligence GroupやMandiant、Google CloudのCISO（最高情報セキュリティ責任者）オフィス、Googleのインテリジェンスおよびセキュリティチームが調査した結果をまとめた。これらのグループが観測または調査した侵入の約半数は、脆弱な認証情報または認証情報が存在しない状況を利用した攻撃によるものだったという。

　クラウドサービスの設定ミスは、Google Cloudが調査した攻撃の34.3％を占め、最初の侵入ポイントとして2番目に多かった。同報告書では、APIとUIに対する侵害が急増したことを指摘している。2024年の下半期に発生した攻撃の17.1％を占めたという。

　サイバー犯罪者や国家に関連するグループとの戦いにおいて、認証情報管理に不備があることは、企業やセキュリティ専門家を不利な立場に追いやる慢性的な問題だ（注2）。

　2024年4月に起きたSnowflakeの160以上の顧客環境を狙った一連の攻撃には背景があった（注3、注4）。多要素認証が実装されていない顧客アカウントの存在だ。一連の攻撃により、大手通信企業のAT＆T（注5）、自動車部品小売業者のAdvance Auto Parts（注6）、データストレージサービスを提供するPure Storageなどの組織で大規模なデータ侵害が起きた（注7）。

狙われるアカウントが変化した

　Google Cloudの調査によると、攻撃者が狙うアカウントの種類が変化している。過剰な特権が設定されているサービスアカウントが標的になってきた。報告書には「これらのアカウントの悪用により、攻撃者は組織のシステム内で横方向へ容易に移動できるようになり、侵入による被害が拡大する恐れがある」とある。

　攻撃者が被害者の環境に最初にアクセスした後に、好んで取る行動がある。Google Cloudが2024年の下半期に観察した攻撃の3分の2以上では、横方向への移動の試みが含まれていた。

　攻撃者がこのような行動を取る際に、認証情報管理に不備があり攻撃に対して脆弱な状態にあるクラウドサービスは、まさに攻撃者を利するものとなっている。攻撃者が迅速かつ広範囲に損害を与えることができるからだ。

　報告書の中で、Google Cloudの研究者は次のように述べた。

　「1つの盗まれた認証情報が連鎖反応を引き起こし、オンプレミス環境やクラウド環境のアプリケーションやデータへのアクセスを許すことになる。これらのアクセスは、リモートアクセスサービスを通じてインフラストラクチャを侵害し、多要素認証を操作し、その後のソーシャルエンジニアリング攻撃において偽の信頼できる人物を確立する目的で悪用される恐れがある」