SpyCloudとは
SpyCloudは、米国SpyCloud社が提供する、アカウントの乗っ取りやなりすましを防ぎ、サイバー犯罪の調査を支える製品です。
扱うのは、犯罪者の手に渡ったデータです。侵害されたサービスから流出したデータ、インフォスティーラー（情報窃取型マルウェア）に感染した端末から盗まれたデータ、フィッシングで集められたデータ、コンボリスト（IDとパスワードの組み合わせの一覧）を回収し、整理したうえで提供します。回収したデータは1兆件を超えます（2026年9月時点）。
回収したデータには、平文のパスワード、ログイン後のセッションcookie、感染した端末の情報が含まれます。ハッシュ化されたパスワードは、SpyCloudが社内で解読し、平文にして提供します。金融機関、官公庁、医療機関、EC事業者など、幅広い業種で使われています。
製品の区分
SpyCloudの製品は、守る対象と使う部署によって3つに分かれます。
| 区分 | 主な製品 | 主な利用部署 |
|---|---|---|
| 従業員を守るEnterprise Protection | Workforce Threat Protection、Endpoint Threat Protection、Supply Chain Threat Protection、Identity Guardians | SOC、インシデント対応、ID管理の担当 |
| 顧客を守るConsumer Protection | Consumer Threat Protection、Session Identity Protection、Financial Threat Protection | 不正対策、顧客アカウント保護の担当 |
| 調べるInvestigations | Cybercrime Investigations | 脅威インテリジェンス、不正調査、内部調査、法執行機関の捜査 |
従業員を守る製品は、従業員や取引先の認証情報、セッションcookie、感染端末の露出を見つけ、修復につなげます（検知から修復まで）。顧客を守る製品は、顧客アカウントの乗っ取りや、盗まれたカード情報による不正を防ぎます。ライセンスはどちらも段階制で、従業員を守る製品は保護する従業員アカウントの数、顧客を守る製品は顧客アカウントの数で決まります。
調査向けの製品：Cybercrime Investigations
Cybercrime Investigationsは、SpyCloudが回収したデータを調査に使うための製品です。メールアドレス、ユーザー名、電話番号、ドメイン、IPアドレスのいずれか1つから調べ始め、同じ人物の別のアカウントや別名、関係するインフラをたどれます。脅威アクターの特定、感染端末の特定、金融犯罪の分析、取引先の露出の分析、内部リスクの分析などに使えます。
使い方は2通りあります。
| 提供形態 | 内容 | ライセンス |
|---|---|---|
| ポータルCybercrime Investigations Module | ブラウザで使う調査用の画面。自然言語で調査を依頼できるResearch Agent、記録を同じ人物に結び付けるIDLink、パターンを見つけて要約するAI Insightsを備える | シート数による段階制。ポータル内の検索は無制限で、1シートにつき200回までのAPIクエリを含む |
| APICybercrime Investigations API | 自社のツールや分析環境から、SpyCloudのデータを直接照会する。Maltego、Splunk、Jupyter Notebookなどと連携できる | クエリ数による段階制 |
MaltegoからSpyCloudを使う
Cybercrime InvestigationsのAPIは、Maltegoから使えます。Maltegoの連携先の一覧に「SpyCloud Cybercrime Investigations」として載っており、SpyCloudのAPIキーを登録すると、Maltegoのグラフ上でSpyCloudのデータを検索できます。利用には、Maltegoのライセンスとは別に、SpyCloudとの契約（Cybercrime InvestigationsのAPI）が必要です。
Maltegoで使う利点は、SpyCloudの結果をほかのデータと1枚のグラフで関連付けられることです。たとえば、漏えいしたメールアドレスを起点に、同じパスワードが使われた別のアカウントをSpyCloudでたどり、そのアカウントに関係するドメインをwhoisやDNSで調べ、SNS上の活動と照らし合わせる、といった調査を1つの画面で続けられます。
検知から修復まで
従業員を守る製品は、盗まれた認証情報やセッションcookieを見つけると、担当者に知らせます。パスワードのリセットやセッションの失効は、SpyCloudと連携したID管理基盤（IdP）、SOAR、EDRで実行します。
Identity Guardiansを使うと、Active Directory、Microsoft Entra ID、Oktaと連携し、パスワードのリセットを自動または手動で実行できます。ログイン中のセッションの失効には、Microsoft Entra IDとOktaが対応しています。どこまで自動にするかは、顧客が設定で選びます。
パスワードを変えるだけでは足りない場合もあります。インフォスティーラーは、パスワードと一緒にセッションcookieも盗みます。多要素認証はログインの段階を守る仕組みで、ログイン後のセッションまでは守りません。盗まれたcookieを使われると、パスワードを変えても、多要素認証を設定していても、なりすましを止められないことがあります。
Have I Been Pwnedとの違い
弊社はHave I Been Pwned（HIBP）も取り扱っています。どちらも漏えいした情報を調べる製品ですが、分かることの範囲と、調べたあとの使い方が違います。
| 項目 | Have I Been Pwned | SpyCloud |
|---|---|---|
| 分かること | メールアドレスやドメインが、どの漏えい事案やインフォスティーラーのログに含まれているか | 漏えいした認証情報そのもの（平文のパスワードを含む）、セッションcookie、感染端末の情報 |
| パスワード | メールアドレスと結び付けては提供しない。パスワードが漏えいデータに含まれているかだけを調べられる（Pwned Passwords） | 平文のパスワードを提供する |
| インフォスティーラーのログ | メールアドレスと、ログイン先のサイトのドメインを提供するProプラン以上 | 認証情報、cookie、感染端末の情報、マルウェアの種類まで提供する |
| 調べたあと | 検索、通知、APIでの照会まで | IdP、SOAR、EDRと連携して修復につなげられる |
| 価格 | 個人の検索は無料。有料プランは価格を公開している | 見積もり制 |
まずHIBPで自社のドメインに関わる漏えいを把握し、パスワードやcookie、感染端末まで踏み込んで調べたり、修復を自動化したりする必要があるときにSpyCloudを検討する、という使い分けができます。
無料チェックと主な連携先
SpyCloudには、無料で使えるチェック機能があります。法人向けの「Check Your Exposure」は、業務用のメールアドレスを入力すると、そのドメインで漏えいした認証情報、マルウェアに感染した利用者と端末、盗まれたセッションcookieの状況を要約して示します。記録の詳細を見るには契約が必要です。なお、送信するとSpyCloudからのメールの受信に同意したことになります。
主な連携先は次のとおりです。
| 種類 | 連携先 |
|---|---|
| ID管理（IdP） | Active Directory、Microsoft Entra ID、Okta、Ping Identity |
| EDR | CrowdStrike Falcon、Microsoft Defender for Endpoint |
| SIEM | Splunk、Microsoft Sentinel、Google Security Operations、Elastic、Devo |
| SOAR | Palo Alto Networks Cortex XSOAR、Tines、Swimlane |
| 調査ツール | Maltego、Jupyter Notebook |
製品の詳細は、SpyCloud社の製品資料（英語、従業員を守る製品、2026年4月版）をご覧ください。
