Identity SecurityのEntro Security、非人間IDの爆発的増加を報告　シークレット流出の半数はコード外から

非人間ID（Non-Human Identity：NHI）およびシークレットセキュリティ分野のパイオニアであるEntro Securityは、2025年上半期版「NHI & Secrets Risk Report」を発表しました。報告書によると、企業環境における管理されていない機械IDの急増と、それに伴うシークレット情報の漏洩リスクが深刻化していることが明らかになりました。Entro Labsの調査チームが実施したこのレポートは、Fortune 500企業やグローバル企業の実環境から収集された2,700万件以上の非人間IDと、数十万件に及ぶ機密情報の漏洩事例を分析したものです。

このレポートによれば、非人間IDの数は人間のアカウントを大きく上回っており、その比率は前年比56%以上増加し、平均で「人間1人に対して144のNHI」という驚異的な水準に達しました。これは、AIエージェントや自動化、CI/CDパイプラインの普及によってNHIが急増していることが背景にあります。CEOで共同創業者のItzik Alvas氏は「144:1というギャップは単なる統計ではなく、リスクが現代の環境でどのように拡大するかを示す構造的な変化です」と警鐘を鳴らしています。さらに、漏洩したシークレットのほぼ半数がソースコード外の場所、たとえばワークフロー、メッセージアプリ、Confluenceなどのコラボレーションツール内から発見されており、セキュリティチームが通常スキャン対象としていない領域が攻撃者にとって格好の標的となっていることが分かりました。中でもSlackボットに紐づくトークンの流出が最も多く、これらのトークンは生成が簡単である一方、しばしばセキュリティシステムや通知ツールと連携されており、リスクを大きく高めています。また、NHIの7.5%は5〜10年以上存在し続けており、なかには10年を超えるものもあります。これらは本来の機能や人間の所有者をすでに失っているにもかかわらず、依然としてアクセス権限を保持していることが多く、大きなセキュリティホールとなっています。さらに、全体の8.7%にあたるNHIは、アクセス権限が過剰かつ利用されていない“放置されたID”であり、特にAWS環境では20件に1件のNHIがフル管理者権限を持っているなど、重大なリスクが指摘されています。

Entroの独自エンジンであるNHIDR™（Non-Human Identity Detection and Response）は、顧客環境内での異常な挙動を検知しており、たとえば制限されたIPからのアクセス、Vaultからの手動によるシークレットの取得、長期間活動していなかったIDの突如としての再活動化など、侵害の初期兆候を把握することが可能です。Alvas氏は「セキュリティチームはソースコードの保護には前進しているものの、実際にはSDLC（ソフトウェア開発ライフサイクル）上の至る所から秘密情報が漏れています。CI/CDログやチャットツールなど、従来見落とされてきた面に光を当てることが重要です」と述べ、Black Hat USAの開催を控え、NHIへの対応が今や「あると便利」ではなく「必須の対策」であると強調しています。

Entro Securityについて
Entro Securityは、非人間ID（NHI）およびシークレットセキュリティに特化したサイバーセキュリティスタートアップです。企業のVaultやCI/CD、チャット、クラウド環境などに存在するNHIやシークレットのライフサイクル全体を可視化・保護・管理するプラットフォームを提供しています。独自のNHIDR™機能により、NHIの異常検知と対応を自動化し、サイバーリスクの低減を支援します。GartnerのCool Vendor選出、Venafiによる「最も有望な機械IDスタートアップ」受賞、2025年Globee Awardsでの「サイバーセキュリティスタートアップ・オブ・ザ・イヤー」受賞など、業界から高い評価を得ています。