Snowflakeのサイバー攻撃による情報漏洩で実行役のカナダ人男性が有罪を認める 165組織・1億人超に影響|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月07日更新日時: 2026年08月07日

米司法省（DOJ）は2026年8月5日、クラウドストレージサービスSnowflakeの顧客企業を標的にした大規模なデータ窃取・サイバー攻撃をめぐり、実行役の一人であるカナダ人男性コナー・ライリー・マウカ被告（26歳）が、コンピュータ詐欺や電信詐欺など4つの罪状について有罪を認めたと発表しました。2024年に発生したこの事件では、AT&TやTicketmasterを含む165以上の組織が侵害され、1億人を超える個人に影響が及んでいます。

この記事のサマリー

米司法省は2026年8月5日、カナダ・オンタリオ州出身のコナー・ライリー・マウカ被告（26歳）が、Snowflakeの顧客企業を標的にした大規模なハッキング・恐喝事件で有罪を認めたと発表しました。
マウカ被告と共犯者らは2024年2月から10月にかけて、少なくとも165の組織のクラウド上のデータへ、盗まれた認証情報を使って不正アクセスしていました。
窃取されたデータには、通話・SMSの履歴、銀行等の金融情報、給与records、麻薬取締局（DEA）登録番号、運転免許証番号、パスポート番号、社会保障番号などが含まれていました。
被害企業の実損害は950万ドル（約14億円）以上、影響を受けた個人は少なくとも1億人に上るとされています。
共犯者らは合計250万ドル（約3億7,000万円）超の身代金を受け取っており、マウカ被告個人でも少なくとも49万5,000ドル（約7,300万円）を得ていたとされています。
マウカ被告は、窃取したデータを使い、ある政府関係者とその家族の情報を用いて再恐喝を行っていたことも明らかにされています。
量刑審理は2026年10月27日に予定されており、加重個人情報窃盗罪で最低2年、その他の罪状で最大30年の禁錮刑に処される可能性があります。

整理表

項目	内容
発表日	2026年8月5日
発表機関	米司法省（DOJ）
被告	コナー・ライリー・マウカ（26歳、カナダ・オンタリオ州キッチナー在住）
事件の対象期間	2024年2月〜10月
標的となったサービス	クラウドストレージ・データ分析サービスSnowflake
侵害された組織数	少なくとも165組織
影響を受けた個人数	少なくとも1億人
侵入手法	インフォスティーラー型マルウェアで窃取した認証情報を使用、多要素認証未設定のアカウントを悪用
被害企業の実損害	950万ドル以上（約14億円）
共犯者らが得た身代金総額	250万ドル超（約3億7,000万円）
マウカ被告個人の取得額	少なくとも49万5,000ドル（約7,300万円）
認めた罪状	コンピュータ詐欺、電信詐欺、加重個人情報窃盗、共謀の4件
量刑審理予定日	2026年10月27日
想定される刑期	加重個人情報窃盗罪で最低2年、その他の罪状で最大30年
主な被害企業（過去報道）	AT&T、Ticketmaster、Santander、Advance Auto Parts、Neiman Marcus、LendingTree等

何が起きたか

米司法省によると、2024年2月から10月にかけて、マウカ被告と共犯者らは、盗まれたログイン認証情報を使い、米国のSaaS企業（Snowflake）の顧客少なくとも165組織のクラウド上のデータへ不正にアクセスしました。これらの認証情報は、インフォスティーラー型マルウェアによって窃取されたもので、対象となったアカウントの多くは多要素認証（MFA）が設定されておらず、正しいユーザー名とパスワードさえあればログインできる状態になっていました。

不正アクセスにより、数十億件に及ぶ機密性の高い顧客レコードが窃取され、テラバイト単位の情報がダウンロードされました。含まれていた情報には、通話・SMSの履歴（内容そのものは含まない）、銀行等の金融情報、給与情報、麻薬取締局（DEA）登録番号、運転免許証番号、パスポート番号、社会保障番号などが含まれていたとされています。マウカ被告らは、これらのデータの公開を示唆して被害組織を恐喝していました。

恐喝の手口と再恐喝の実態

共犯者らは、この恐喝により合計250万ドル超の身代金を受け取っています。マウカ被告は、少なくとも1件について、被害者から窃取したデータの追加公開を示唆して再度恐喝を行っており、この際にはある政府関係者と、当時元政府職員だった人物の家族の窃取データを利用していたことが明らかにされています。

恐喝に加え、マウカ被告らはBreachForums、Exploit.in、XSS.isといったサイバー犯罪フォーラムや、Telegramを通じて被害者のデータを販売する行為も行っていました。こうした活動を通じ、マウカ被告個人は少なくとも49万5,000ドルを得ていた一方、被害企業側の実損害は950万ドルを超え、これには影響を受けた少なくとも1億人の顧客が被った損害は含まれていません。

司法手続きの内容

マウカ被告は、起訴状にある4つの罪状（コンピュータ詐欺、電信詐欺、加重個人情報窃盗、およびこれらに関連する共謀）について有罪を認めました。量刑審理は2026年10月27日に予定されており、加重個人情報窃盗罪については最低2年の禁錮刑が義務付けられているほか、残りの罪状については最大30年の禁錮刑が科される可能性があります。実際の量刑は、連邦量刑ガイドラインおよびその他の法定要素を考慮したうえで、連邦地方裁判所判事が決定します。

本件はFBIが捜査を担当し、司法省犯罪局コンピュータ犯罪・知的財産権課の担当検察官およびワシントン州西部地区連邦検事局が起訴を担当しました。マウカ被告のカナダからの拘束・引き渡し（2025年7月に身柄が引き渡されています）には、カナダ王立騎馬警察、オーストラリア連邦警察、スペインの民警隊、ウクライナ保安庁、トルコ国家警察など、複数国の法執行機関が協力しています。共犯者とされるジョン・エリン・ビンズ被告は事件当時トルコに滞在しており、同国で身柄を拘束されましたが、米国への身柄引き渡しをめぐっては争いがあると報じられています。

過去に日本国内でも報じられたSnowflake関連の実害

この一連の事件は、2024年に米国の大手通信会社AT&Tが公表した大規模データ侵害を通じて、日本国内でも大きく報じられました。AT&Tは、Snowflake上のワークスペースへの不正アクセスにより、約1億900万人の顧客の通話記録が侵害されたことを公表しており、当サイトでもAT&Tが契約する「Snowflake」から大規模データ侵害約1億900万人の顧客の通話記録が漏洩で報じています。その後、AT&Tが窃取された通信記録の削除と引き換えに37万ドルの身代金を支払ったとの報道もあり、AT&Tが窃取された通信記録削除のため37万ドルの身代金を支払ったとの報道で解説しています。今回の有罪答弁は、これらの事件の実行者の一人に対する刑事責任が、約2年越しに確定した形になります。

情報システム部門が確認すべき対策ポイント

クラウドストレージ・データ分析基盤など、大量の顧客データを保管するサービスについて、多要素認証（MFA）が全アカウントで有効化されているかを確認してください。今回の事件は、MFAが設定されていなかったことが侵入を許した直接の要因です。
従業員の端末がインフォスティーラー型マルウェアに感染していないか、エンドポイント保護の状況を確認してください。今回の事件では、マルウェアで窃取された認証情報がそのまま悪用されています。
過去に窃取された可能性のある認証情報が、現在も有効なまま使われていないか、パスワードのローテーションと、ダークウェブ上の漏えい情報を監視するサービスの活用を検討してください。
クラウドサービスプロバイダー側が提供するセキュリティ機能（IPアドレス制限、異常なログイン検知、MFAの強制設定など）を、契約時点で有効化する運用を徹底してください。
委託先・利用しているSaaS事業者が、同種の大規模侵害を受けた場合の通知体制や補償方針について、契約前に確認しておくことをおすすめします。