クラウドサービスに身に覚えのないログインがあった場合、単にパスワードを変更するだけでは十分でないことがあります。第三者がすでに有効なセッションを保持していたり、管理者権限や共有設定を変更したりしていると、パスワード変更後も影響が残る可能性があります。

特にクラウド上には顧客情報や社内資料、認証情報など重要なデータが保存されていることが多いため、不正アクセスが疑われる場合は「誰がログインしたか」だけでなく、ログイン後に何を閲覧・変更・ダウンロードしたのかまで確認する必要があります。復旧を急いで監査ログを削除すると、痕跡が消える恐れがあります。

また、アクセス権限や外部共有設定が変更されている場合は、1つのアカウントだけでなく、ほかのユーザーやクラウドサービスへ被害が広がっている可能性があります。アカウントの封じ込めと同時に、セッションやトークン、権限、共有設定、監査ログを確認することが重要です。

そこで本記事では、クラウドサービスへの不正アクセスを疑うサインと主な原因から、発覚後に優先すべき初動対応、監査ログを使った被害範囲の確認方法、情報漏えいや侵入経路を自力で判断できない場合の相談目安までを解説します。

クラウドサービスへの不正アクセスを疑うサインと主な原因

クラウドへの不正アクセスは、身に覚えのないログインだけでなく、権限変更や外部共有、認証情報の悪用などから発覚することがあります。まずはアカウントと共有設定に不自然な変化がないか確認してください。

身に覚えのない場所からログインされている

普段利用していない地域や端末、時間帯からのログインが記録されている場合は、第三者による不正アクセスの可能性があります。クラウドサービスによってはログイン日時、接続元IPアドレス、利用端末などを確認できます。

ただし、VPNやモバイル回線を利用していると接続元の地域表示が実際の所在地と異なることもあります。場所だけで不正アクセスと判断せず、端末、時刻、操作履歴などを合わせて確認することが重要です。

アカウントの認証情報を盗まれて不正ログインされる

クラウドサービスへの不正アクセスでは、フィッシングやパスワードの使い回しなどによってID・パスワードが盗まれ、そのままログインに悪用されることがあります。

認証情報が流出すると、正規ユーザーと同じようにログインされるため、システム側では通常の操作に見える場合があります。ログイン後にファイル閲覧や共有設定変更などが行われていないかまで確認する必要があります。

アクセス権限の設定ミスから第三者にデータを閲覧される

クラウドでは、不正ログインがなくてもアクセス権限の設定ミスによって第三者がデータを閲覧できる状態になることがあります。

本来は一部の社員だけが閲覧するファイルに広い権限が設定されていると、意図しない利用者がアクセスできる可能性があります。ユーザーごとの権限だけでなく、グループやロールに付与された権限も確認してください。

共有設定の不備から社外にデータが公開される

ファイルやフォルダの共有設定が「リンクを知っている全員」など広い範囲になっていると、社外の第三者がアクセスできる状態になる場合があります。

不正アクセスの有無を調べる際には、ログイン履歴だけでなく、外部共有リンクの作成や公開範囲の変更が行われていないかも確認することが重要です。

管理者権限を奪われて他のアカウントへ被害が広がる

管理者権限を持つアカウントが侵害されると、新しいアカウントの作成、権限変更、セキュリティ設定の変更などが行われる可能性があります。

攻撃者が別のアカウントへ権限を付与している場合、最初に侵害されたアカウントのパスワードを変更してもアクセス経路が残ることがあります。権限変更履歴や新規アカウントの有無を確認してください。

多要素認証を設定していないアカウントが狙われる

パスワードだけでログインできるアカウントは、認証情報が漏えいした場合に不正アクセスへつながりやすくなります。

多要素認証を利用すると、パスワード以外の追加認証が必要になるため、認証情報が第三者に知られた場合のリスクを抑えられます。ただし、多要素認証を設定していてもすべての攻撃を防げるわけではないため、不審なログイン履歴の監視も必要です。

クラウドの異常はログイン履歴だけで判断しない

クラウドサービスの不正アクセスでは、ログインが成功したかどうかだけでは影響範囲を判断できません。ファイル閲覧、ダウンロード、外部共有、権限変更などの操作が行われている可能性があります。

不審なログインが確認された場合は、アクセス後の操作まで監査ログで追うことが重要です。履歴や設定を不用意に削除すると、被害把握が困難になる可能性があります。

クラウドサービスへの不正アクセスが疑われた場合の初動対応

不正アクセスが疑われる場合は、被害拡大を止めながら調査に必要な情報を残すことが重要です。アカウントの封じ込め、既存セッションの失効、認証情報の変更、権限や共有設定の確認を順番に進めます。

不正アクセスされたアカウントへのログインを停止する

不正アクセスが確認された、または強く疑われるアカウントは、攻撃者が操作を続けられないよう一時的な無効化やアクセス制限を検討します。

ただし、いきなりアカウントを削除すると監査ログや設定状況を追いにくくなることがあります。可能であれば、現在の状態を記録したうえで封じ込めを進めてください。

有効なログインセッションを失効させる

パスワードを変更しても、攻撃者がすでに取得したセッションやトークンが有効なまま残る場合があります。そのため、侵害が疑われるアカウントでは既存セッションの失効も重要です。

利用しているクラウドサービスに、すべての端末からのサインアウトやトークン失効などの機能がある場合は、サービスの管理手順に沿って実施します。

アカウントのパスワードを変更する

認証情報の侵害が疑われる場合は、パスワードを新しいものへ変更します。他サービスと同じパスワードを利用している場合は、同じ認証情報を利用しているサービスにも影響がないか確認してください。

可能であれば多要素認証を設定し、パスワードだけで再ログインできない状態にします。

アクセス権限が勝手に変更されていないか確認する

攻撃者がアクセスを維持するために、別のアカウントへ権限を付与したり、新しい管理者を追加したりしている可能性があります。

侵害されたアカウントだけでなく、管理者ロール、グループ、サービスアカウントなどの権限にも変更がないか確認してください。

外部共有されたファイルがないか確認する

攻撃者がファイルを直接ダウンロードせず、外部共有リンクを作成して後からアクセスできる状態にする場合も考えられます。

不審なログインが確認された期間に、新しい外部共有リンクや共有先が追加されていないか確認してください。

監査ログを削除せず保全する

クラウドの監査ログには、ログイン、ファイル閲覧、ダウンロード、権限変更などの操作履歴が残る場合があります。不正アクセスの影響範囲を判断するための重要な情報です。

復旧を急いで設定変更やログ削除を行うと、侵入経路や操作内容を確認しにくくなる場合があります。利用できるログを退避し、日時や取得方法も記録しておくと調査につなげやすくなります。

クラウドサービスの不正アクセスで確認すべき被害範囲

アカウントを保護した後は、不正アクセス中にどこまで操作されたのかを確認します。閲覧されたファイル、ダウンロードされたデータ、権限変更、追加アカウントなどを監査ログから確認し、情報漏えいの可能性を整理してください。

第三者に閲覧されたファイルを監査ログから確認する

不正アクセスが成立していた場合は、攻撃者がどのファイルへアクセスしたかを確認します。クラウドサービスによっては、ファイルの閲覧日時や操作したアカウントを監査ログから確認できます。

顧客情報、個人情報、契約書、認証情報など重要なファイルへのアクセスが確認された場合は、情報漏えいの可能性を含めて対応を検討する必要があります。

外部へダウンロードされたデータがないか確認する

ファイルが閲覧されただけでなく、外部へダウンロードされていないかも確認します。大量のファイル取得や普段と異なる時間帯のダウンロードがある場合は注意が必要です。

ダウンロード履歴が確認できる場合は、対象ファイル、件数、操作日時、アカウントを整理し、情報漏えいの影響範囲を確認してください。

不正に作成されたアカウントがないか確認する

攻撃者がアクセスを維持するために、新しいユーザーやサービスアカウントを作成している可能性があります。

直近に追加されたアカウントを確認し、正規の作業で作られたものかを社内担当者へ確認してください。特に管理者権限を持つ新規アカウントには注意が必要です。

不審な権限変更が行われていないか確認する

既存ユーザーへ強い権限が付与されている、グループ設定が変更されているなど、不審な権限変更がないか確認します。

攻撃者による権限拡大が行われていた場合、被害は最初に侵害されたアカウントだけではなく、ほかのシステムやデータへ広がっている可能性があります。

他のクラウドアカウントへ不正アクセスが広がっていないか確認する

同じパスワードを複数サービスで利用している場合や、シングルサインオンで複数のクラウドサービスを利用している場合は、別のアカウントにも被害が広がっている可能性があります。

同じ時期に身に覚えのないログインがないか、別サービスでも認証情報や権限設定が変更されていないかを確認してください。

情報漏えいや侵入経路を特定できない場合は専門業者に相談する

クラウドサービスへの不正アクセスでは、アカウントを取り戻しただけでは被害の全体像が分からないことがあります。第三者がどのファイルを閲覧したのか、外部へダウンロードしたのか、権限を変更したのかを確認するには、複数の監査ログを時系列で突き合わせる必要があります。

特に、ログの種類や保持期間が分からない、複数のアカウントに不審な操作がある、個人情報や機密情報が外部へ流出した可能性がある場合は、社内だけでの切り分けが難しくなることがあります。

フォレンジック調査では、クラウドの監査ログや端末に残された操作履歴などを解析し、不正アクセスの侵入経路、活動期間、閲覧・ダウンロードされた情報、影響を受けたアカウントなどを整理できます。被害範囲を自力で判断できない場合は、専門業者への相談を検討してください。

おすすめのフォレンジック調査会社

クラウドサービスへの不正アクセスでは、パスワード変更やアカウント停止だけでなく、侵害期間中の操作履歴や情報漏えいの有無まで確認することが重要です。特に複数アカウントや重要データへ影響している場合は、専門的なログ解析が必要になることがあります。

公式サイトデジタルデータフォレンジック

編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。

デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上あるフォレンジック調査サービスです。

24時間365日の相談窓口があり、相談から見積りまで無料で対応しています。クラウドへの不正アクセスによる情報漏えいの有無や侵入経路、影響範囲を自力で判断できない場合に相談を検討できます。

【厳格調査】デジタルデータフォレンジックの評判は？口コミや評価、料金体系からサービスを調査

2024.3.5

フォレンジックとは「パソコンやHDD、スマートフォンなどのデジタル端末に残されたログやデータ類を抽出し、サイバーセキュリティ調査や法的紛争支援などを行う」技術です。 近年はデジタル技術の急拡大により、

【2026年版】ハッキング調査会社を見分けるポイント6選！費用相場や悪徳業者の特徴も解説

2024.3.5

会社や自分のパソコンやスマホがハッキングされたかもしれないと気付いたとき、どうやって調査すればよいのでしょうか。 「パソコンが遠隔操作され、詐欺にあったかもしれない…」

まとめ

クラウドサービスへの不正アクセスが疑われる場合は、パスワード変更だけで対応を終わらせず、既存セッションの失効、アクセス権限や外部共有の確認、監査ログの保全まで行うことが重要です。

アカウントを保護した後は、第三者がどのファイルを閲覧・ダウンロードしたのか、不審な権限変更や新規アカウント作成がなかったかを確認してください。情報漏えいや侵入経路を自力で特定できない場合は、専門調査によって被害範囲を整理することも検討しましょう。