クラウド
このタグの記事 6 件
シャドーAIとは：会社が把握していないAI利用のリスクと、組織と個人の対策
シャドーAIは、会社が承認・管理していないAIツール（チャットAI、ブラウザ拡張、コーディング支援、議事録AI、業務アカウントにつないだAIエージェント）を社員が業務に使うこと。シャドーITのAI版。主なリスクは、入力した機密・個人情報が事業者側で保存・学習に使われうること（個人向けか法人向けか、設定によって扱いが違う）、OAuth連携やAPIキーでメールやドライブへのアクセス権が外部に渡ること、出力の誤りや権利の問題、個人情報保護法や監査への対応。禁止だけでは利用が見えなくなるので、学習に使われない法人契約の承認ツールを用意し、入力してよい情報のルール、SSOと管理機能、連携アプリと拡張機能の棚卸し、相談窓口で管理する。
米Aesto Healthの情報漏えい（954万人）：知らない会社から通知が届いた理由と、対象者がやること
米国の医療データ移行・アーカイブ（保管）事業者Aesto, LLC（Aesto Health）は、2025年12月2日から18日ごろにかけて、同社のクラウド環境の一部で、医療機関（同社の顧客）の患者の保護対象医療情報がアクセスまたは取得された可能性があると公表した。米保健福祉省（HHS）公民権局の公開一覧では、対象者は9,540,683人。情報は氏名、生年月日、医療情報、運転免許証番号、金融口座番号、健康保険情報、個人納税者番号（ITIN）などの公的ID番号で、社会保障番号（SSN）は一部の人が対象。差出人に心当たりがないのは、医療機関が古い記録の保管を委託していたから。まず自分の医療機関が対象かを確かめる。SSN・ITINは凍結とIRSのIP PINで、医療情報は給付明細で守る。医療機関は、患者データを預けている委託先の一覧を作り、預けた記録をいつ返却・破棄するかを決めておく。
Vercelのセキュリティインシデント（2026年4月）：環境変数が漏れたときに開発者がやること
2026年4月19日、Vercelは社内システムへの不正アクセスを公表した。Vercelによれば、社員が使っていた外部のAIツールの侵害を起点に、その社員のGoogle Workspaceアカウント、Vercelアカウント、Vercelの環境へと進まれ、一部の顧客の「sensitive」に設定されていない環境変数が列挙・復号された。影響を受けた顧客には直接連絡済みで、npmで公開しているパッケージは改ざんされていないと確認している。当サイトの結論：漏れたかどうかを分けたのは、環境変数を、保存後も値を画面に表示できる区分にしていたか、表示できない区分にしていたかだった。後から値を見返す必要のない秘密は、すべて値を表示できない区分（Secret）で保存する。社員がOAuth（外部アプリに会社のアカウントへのアクセスを許可する仕組み）でつなぐAIツールも、依存パッケージと同じく棚卸しの対象にする。
サブドメイン乗っ取り（dangling DNS）とは：消し忘れたDNS設定から自社ドメインが悪用される仕組み
クラウド資源を消してDNSレコードを消し忘れると『dangling DNS』になり、第三者が同じFQDNの資源を作るだけでそのサブドメインを乗っ取れる。自社サーバーは侵害されないまま、正規のサブドメインが攻撃者のコンテンツを配る。被害は見た目だけではない。多くのWebアプリはセッションCookieをワイルドカードでサブドメインと共有しており、乗っ取られたサブドメインから読める。また公式ドキュメントは、証明書があれば安全という考えを誤解だと明記している。対策は削除の順番を仕組みにすること。
SSRF（サーバーサイドリクエストフォージェリ）とは
SSRFは、外部入力のURLを使ってサーバーに内部リソース（内部IPやクラウドメタデータ）にアクセスさせる攻撃。URLを取りに行く機能を作るなら、宛先の許可リスト・内部遮断・リダイレクト/DNS再解決による回避への対策が必須。Capital One事故の原因でもあった。
Capital One 情報漏えい事件（2019）— SSRFから1億人分が漏れた原因と防御
起点はたった1つのSSRF。そこからメタデータ提供先→過剰権限のIAM一時鍵→S3一括コピーへと連鎖し、約1億600万人分が漏えい。各段階で止められた。あなたの環境ではIMDSv2・IAM最小権限・送信先の許可リストで再発防止する。