認証情報の侵害が報じられた。
最初の24時間。

0〜2時間：影響を受けているかを判断する

1. 対象を正確に名指しする。「ベンダー X が侵害された」が意味を持つのは、ベンダー X にアカウント、認証情報、トークン、データを預けている場合か、そこで使っていたパスワードを他でも使い回している場合だけです。動き出す前に、実際の重なりを書き出してください。
2. 存在ではなく使い回しを確認する。 流出の影響範囲は、同じパスワードや近い変形が使い回されている場所すべてに及びます。認証情報が検索できるチームの保管庫にあれば、この照会は数分で終わります。チャットのスレッドや表計算ファイルに散っていれば、この手順が最大のボトルネックであり、同時に今回の教訓です。
3. 便利機能をいったん止める。 対象のドメインについては、ブラウザ拡張の自動入力や共有セッションを、変更が終わるまで停止してください。

2〜12時間：優先順位をつけて変更する

名前の順に変更してはいけません。被害の大きさの順に変更してください。

1. お金が動く認証情報：銀行、決済代行、給与計算。
2. ID の根：ドメインレジストラ、DNS、そして ID プロバイダー自身の管理者アカウント。
3. インフラの根：クラウドのアカウント、CI/CD、コードホスティング。
4. 寿命の長い機械の秘密：API キーとトークン。放っておいても期限切れにならず、まさにAI エージェントや連携が抱えがちなものです。
5. 流出が触れたその他すべて。

変更のたびに、サービスが許す範囲で有効なセッションとリフレッシュトークンを無効化してください。パスワードを変更しても、すでに入り込んでいる攻撃者がサインアウトすることはありません。

12〜24時間：証明し、伝える

• 記憶ではなく記録で完了を証明する。 追記のみの監査ログがあれば、「この認証情報に最近アクセスしたのは誰か、報道の後に触れた人はいるか」に聞き取りなしで答えられます。監査ログはまさにこの瞬間のためにあります。
• 何が変わったのかをチームに伝え、顧客データが範囲に含まれる場合は、心情ではなく通知義務に従って対応してください。
• 振り返りを一週間以内に設定する。 どの手順が遅かったか、どの認証情報に持ち主がいなかったか、何を直すのか。

報道があなたに突きつけている、居心地の悪い問い

大きな侵害の報道はどれも、自社のベンダーについての問いでもあります。もしそのベンダーの方が侵害されていたら、攻撃者は何を手にしたでしょうか。正直な答えが「当社の平文」であれば、直すべきは手順ではなく設計です。ゼロ知識の保管庫は、その答えを「開けない暗号文」に変えます。だからこそ当社は当社自身にも保存内容が読めないように Keyvaci を作りました。変更の訓練は今後も重要ですが、それを必要とする回数は少ないほど良いのです。