独立行政法人情報処理推進機構（IPA）は木曜日、作品『anemoi』の未公開マスターデータ漏えいを含むクラウド認証情報窃取の相次ぎを受け、アニメ・ゲームのサプライチェーン向けに製品セキュリティインシデント対応チーム（PSIRT）連携を拡大すると発表した。スタジオのポータルが認証情報再利用攻撃の踏み台になり得ることが浮き彫りになった。

スタジオが報告した内容

Visual Artsは6月、内部ポータルに結びつくクラウドストレージの認証キーが窃取された可能性を開示し、4月19日に海外のファイルサイトへanemoi関連資産が出回ったと説明した。5月11日に個人情報保護委員会へ初回報告を提出し、顧客・応募者・従業員の記録も漏えいした可能性があると警告した。

IPA関係者はInfoHandleに、少なくとも他4社の中規模アニメ下請けが8月にJPCERT/CCへ同様のパターンで連絡したと語った。レガシーwikiに埋め込まれた長期有効のAPIキー、ステップアップ認証のない共有請負アカウント、レンダーファームのスケジューラがオブジェクトストレージトークンを平文設定ファイルに保存していた事例などが挙げられた。

当局が追加するPSIRT枠

IPAの既存PSIRTは政府・金融向けソフトウェア販売事業者を中心としていた。新設の「クリエイティブサプライヤー」枠では、日英の受付フォーム、認証情報ローテーション順序の72時間アドバイザリ、稼働中のレンダリングを止めずにキーを失効できない場合のクラウド事業者とのブリッジコールが加わる。

参加は任意だが、IPAは国内クラウドリセラー2社とグローバルCDN1社が、スタジオが警察または個人情報保護委員会の照会番号を提示すればIPA調整のローテーションチケットを受理する旨で合意したと述べた。海外の漏えい資産の削除は保証されないが、窃取キーの有効期間は短縮される。

ゼロデイではなく認証情報が主因だった理由

IPAが確認したフォレンジック要約は、コンポジットソフトの新規脆弱性より、請負VPNへのパスワードスプレーやセッションハイジャックを指摘した。パンデミック期の在宅勤務の名残で、資産ブラウザへのパスワードのみログインが残るスタジオが複数あった。

攻撃者はポータルからGitミラーとチケットシステムへつなぎ、追加の秘密情報を収集したとされる。これは昨年IPAが製造業PSIRT事例で文書化した横展開パターンと同型だ。違いは契約構造で、アニメのパイプラインは同一エピソードフォルダへ重複アクセスする多数のフリーランス事業者を含む。

マスターファイル以外の露出

Visual Artsは監視体制の再構築中、VA STOREサイトの新規受注を一時停止した。他スタジオはIPAに、給与やキャスティングの表がプロデューサーがフォルダテンプレートを流用したためレンダー資産と同じバケットに置かれることがあると伝えた。

IPAは個人を特定できる情報を別テナント・別キーに分離し、シングルサインオンを迂回するレガシーSFTPゲートウェイを無効化するよう促している。今週のIPA説明会に参加した保険引受人は、資産クラス台帳を維持するかをポリシーで問い始めたと述べたが、多くは依然非公式な表計算だ。

事業者が次に取るべき措置

IPAは10月に、ポータルの多要素認証、レンダーノードのトークン最大寿命、政府CSIRT分類と整合するログ要件を盛り込んだチェックリストを公開する。海外パートナーへ日次映像を送るスタジオは、作品終了後も外国スタッフがキーを保持する場合の文書化を求められる。

JPCERT/CCは引き続き公開向けの主調整窓口だが、複数スタジオに関わるパッケージソフトやマネージドサービスの漏えいではIPAのPSIRTデスクが事業者への働きかけを担う。

IPAが認める限界

当局は海外ホストに漏えい映像の削除を強制できず、犯罪の帰属調査も行わない。役割は運用面で、制作スケジュールを止めずに被害者の認証情報をローテーションし、匿名化したインジケータをISAC仲間へ提供することだ。

警察・保険会社との連携

IPAは被害者の身元を公表しないが、スタジオが刑事告訦を提出した場合、暗号学的インジケータを警察庁のサイバー犯罪連絡窓口へ渡すとした。複数の保険会社は、ポスプロダクション遅延の事業中断補償を延長する前にPSIRTチケット番号を求めるようになった。IPAデスクはキー失効と請負アクセス見直しなど基本封じ込めが文書化されれば番号を発行する。

IPA説明会に参加したブローカーによると、資産ポータルで多要素認証を拒否するスタジオは補償上限が引き下げられる可能性がある。ヒット作と遅延シーズンの間で薄い利益で動く業界では、罰金より市場圧力が効くかもしれない。

小規模事業者向けのタイムライン

従業員30人未満のフリーランスコンポジット事務所は11月から東京・大阪の業界団体経由でクリエイティブ枠に参加できる。IPAは会員あたり2時間のリモート設定レビューを補助し、日次映像と人事フォルダの分離、個人ドライブへのエクスポートログ——フォレンジックがインシデント報告で繰り返し見つける習慣——に焦点を当てる。

日本のクリエイティブ輸出業者への教訓は率直だ。次の侵害は派手な新規脆弱性より、請負wikiの古いキーの可能性が高い。IPAは、匿名アップロードサイトにマスターファイルが並ぶ夏の再来を防ぐには、より速い連携が勝負だと見ている。