Notion情報漏えい：AIチャット記録が流出

Notionはハッキングされたのか

直接的にはそうではありません。Notionは、今回の事案は「当社システムへの侵害ではなく」、第三者のAIベンダーであるFireworks AIでの侵害により、1%未満のワークスペースのNotion AIチャット記録が流出したものだと述べています^[1]。

NotionはFireworksを2つの用途で使っていました。1つは、顧客が自分たちのAI利用状況を把握できるInsights機能を支える分類処理、もう1つはNotion内でオープンウェイトのAIモデルを動かすための汎用の推論プロバイダーとしてです^[1]。BleepingComputerによると、Insightsはワークスペース管理者がチームのAI利用状況を確認できる機能です^[4]。

Notionは、ほかの機能に影響はなかったと述べています^[1]。調査のあいだInsightsを無効にし、Fireworks経由でのオープンウェイトモデルの提供も停止しました^[1]。TechCrunchによると、Notionの説明では、その後Fireworksが一部のNotion顧客データが盗まれたことを確認しました^[3]。

Notionの情報漏えいでどのデータが流出したのか

盗まれたデータセットには、Insightsに使われるNotion AIのチャット記録が含まれていました。TechCrunchによるとNotionは、そこには「チャットに書き込まれたモデルへの入力と出力のすべて」が含まれると説明しています^[3]。影響を受けたワークスペースの大半では、記録は特定できない状態だったとNotionは述べています^[1]。

Notionは「特定できない」を、誰が書いたか、どのワークスペースのものかのラベルが付いておらず、ツール呼び出しの結果も含まないチャットと定義しています^[1]。「チャット記録そのものに含まれる内容以外に、チャットをワークスペース、ユーザー、企業に結び付ける情報はありません」としています^[1][5]。

問題は内容そのものです。Notion AIに入力されたもの、たとえばパスワード、APIキー、機密文書が記録に含まれている可能性があります^[1]。Notionは、影響を受けたメッセージの中にそうしたキーが見つかったとしています。11月11日には流出したNotionのAPIキーを失効させ、11月12日には流出したサードパーティのAPIキーを、発行元のベンダーに報告しました^[1]。

Fireworks自体では、より広範な侵害がリソースのメタデータ、請求情報(住所、請求書、残高、クレジット使用量)、一部の顧客については不完全なモデルの重みとデータセットに及びました^[2]。Fireworksは、決済カード番号は保管しておらず、影響を受けていないと述べています^[2]。

Notionの情報漏えいはいつ起きたのか

攻撃者がFireworksに到達したのは2026年10月下旬で、Notionは11月初めに顧客データが関係していることを知り、11月9日に影響を受けた顧客に連絡しました^[1][2]。

• 10月23日:Fireworksの研究開発用マシンをホストする第三者のクラウドプロバイダーでセキュリティインシデントが発生しました^[2]。
• 10月24日:攻撃者はこれを使ってFireworksの開発マシンに到達し、不正なワークロードを実行しました。Fireworksは同日中に検知したと述べています^[2]。
• 11月2日:Fireworksは小規模なデータセットにアクセスされたとNotionに伝えました。Notionは当初、合成のテストデータしか見つけられませんでした^[1]。
• 11月3-4日:11月3日の朝までにNotionはシステムをFireworksから切り離し、11月4日にFireworksのシステム内にある自社のデータをすべて削除しました^[1]。
• 11月6日:Fireworksは顧客データにアクセスされた可能性があると伝えました^[1]。
• 11月8日:Fireworksが影響を受けた最終的なデータセットを確認し、Notionはその後、そこにInsightsに使われるNotion AIのチャット記録が含まれていることを突き止めました^[1]。
• 11月9日:Notionは影響を受けた顧客に連絡しました^[1]。
• 11月11-13日:11月12日付のNotionの勧告には更新メモがあり、11月11日に流出したNotionのAPIキーを失効させ、11月12日に流出したサードパーティのAPIキーを発行元のベンダーに報告したと記されています^[1]。

この経緯を短くまとめている報道もありますが、日付が最も詳しく書かれているのはNotion自身の勧告です^[1]。

Notionユーザーは今何をすべきか

Notionによると、連絡を受けていなければ、ご自身のワークスペースは影響を受けたものとして特定されておらず、今のところ対応は不要です^[1]。影響を受けた顧客には、次の対応を勧めています^[1][4]。

1. 流出したデータを確認する。影響を受けた顧客は、メールで届く手順に従い、ワークスペース内で安全に取得できます^[1]。BleepingComputerによると、ワークスペースのオーナーはNotionのデスクトップ版ウェブインターフェースにある「セキュリティインシデントの確認」を使い、ダウンロードリンクをメンバーに共有できます^[4]。
2. データは流出したものとして扱う。大半の記録が特定できない状態であっても同様です^[1]。
3. 認証情報をローテーションする。この期間中にNotion AIに機密情報、パスワード、APIキー、その他の認証情報を貼り付けた場合は、変更してください^[1][5]。
4. 他のサービスのキーも含める。Notionは、見つかった流出済みのサードパーティAPIキーを発行元のベンダーに報告したとしています。顧客への助言は、Notion AIに貼り付けたAPIキーをすべてローテーションすることです^[1]。
5. 一般的な漏えいの確認には、Was My Data Leaked? How to Check and What to Do After a Data Breachで、どの情報漏えいの後でも確認すべき点を解説しています(一般的な助言であり、Notionの通知の一部ではありません)。

一般的な予防策として(Notionの助言には含まれません)、有効なシークレットをAIチャットに入れないようにしましょう。認証情報をより安全に保管・共有する方法はPassword Managers Explained: How They Work and Whether They Are Safeで、AIチャットツールがデータをどう扱うかはIs ChatGPT Safe for Your Privacy? What AI Chatbots Do With the Data You Shareで解説しています。

Fireworks AIとは何か、どのようにハッキングされたのか

Fireworks AIは、開発者がオープンなAIモデルにアクセスして実行するためのプラットフォームです。Notionは、世界で最も使われているAIインフラプラットフォームの1つで、数万の顧客を支えていると説明しています^[1][3]。

Fireworksによると、研究開発用マシンをホストするクラウドプロバイダーで10月23日にインシデントが起き、翌日に権限のない者がそれを利用してFireworksの開発マシンに到達しました^[2]。SecurityWeekは、顧客データが侵害された日を10月24日としています^[5]。Fireworksは、10月25日の時点で、顧客が使うプラットフォームへの不正アクセスが成功した証拠はそれ以上検出していないと述べています^[2]。

TechCrunchはこれを、Fireworksに影響した侵害として短期間で2度目だとしています^[3]。10月9日のお知らせで公表された先の事案では、保管されていたシークレットが関係していました。BleepingComputerによると、ハッカーは一部のアカウントについて、APIキーとトークンを含む環境変数にアクセスしました^[2][4]。

Fireworksは、法執行機関に通報し、Palo Alto NetworksのUnit 42とともにフォレンジック調査を進めていると述べています^[2]。対応には、認証情報の失効と交換、影響を受けたシステムの隔離、バッチ推論とデータセットベースの学習向けのセルフサービスによるデータセットのアップロードとダウンロードの一時停止が含まれます^[2]。

LLMjackingとは何か

LLMjackingとは、大規模言語モデルへのアクセスを盗み、転売することです。Fireworksは、証拠は、これを行う金銭目的のサイバー犯罪グループとのつながりを示していると述べています^[2]。

Fireworksによると、このグループは「大規模言語モデル(LLM)への不正アクセスから得たトークンを、違法なルーティングゲートウェイに販売する」ことを目的としています^[2]。この用語を使っていないTechCrunchは、Fireworksが攻撃者を金銭目的とみており、買い手は自分でコンピューティングの費用を払わずに盗まれたアクセスを使う権限のない第三者だと伝えています^[3]。SecurityWeekは、Fireworksの2度目の事案を、最近のLLMjacking活動の増加に結び付けています^[5]。

Notion自身は「悪意のある者」としか述べておらず、それが誰で何を目的としていたかには触れていません^[1]。報告しているのは、影響を受けたメッセージから流出したAPIキーが見つかったこと、そしてNotionのキーを失効させ、サードパーティのキーを発行元に報告したことです^[1]。Fireworksは、Google Threat Intelligence GroupとMandiantが11月2日にLLMjackingに関する調査を公表したと記しています^[2]。

Notion AIを使い続けても安全か

Notionは、ベンダーとの接続を切断し、Fireworks上のデータを削除し、影響を受けた機能を無効にしたとしていますが、調査は続いています^[1]。

• 安心できる点:ほかのNotionの機能には影響がなく、大半の記録はユーザーに結び付けられず、影響を受けた顧客には連絡が行われています^[1]。
• 安心できる点:Fireworksは、推論サービス、Training SDK、Nexusは既定でゼロデータ保持であり、影響はなかったと述べています^[2]。
• 未解決の点:BleepingComputerによると、NotionのFAQには、FireworksがNotionのデータについてゼロデータ保持を契約で約束していたとあります^[4]。確認した情報源のいずれも、Insightsのデータセットがどうして入手可能な状態になっていたのかを説明していません。
• 懸念される点:Notionは割合(1%未満のワークスペース)を示していますが、SecurityWeekによると、影響を受けた顧客の数は明らかにしていません^[5]。

Notionは、顧客データの保護の基準を「引き上げる」と述べています^[1]。TechCrunchは、この事案は、テック企業が自社のサービスのために他のプロバイダーに依存していることを示していると論じています^[3]。

今後どうなるのか

両社とも調査は続いていると述べています。Notionは勧告を更新するとし、Fireworksは必要に応じて追加の情報を提供するとしています^[1][2]。Fireworksは、調査で「新たな情報が明らかになる可能性がある」と警告しています^[2]。

注目点は、Fireworksが影響を受けた他の顧客の名前を挙げるのか、Notionが「1%未満」という数字を修正するのか、そして現在無効になっているInsightsが戻るのかどうかです^[1][2]。それまでは、公式の最新情報はNotionの勧告ページで確認できます^[1]。

企業にとってのより広い教訓は、ベンダーのつながりに関するものです。TechCrunchは、この侵害は、テック企業が自社の製品のために他のプロバイダーに依存しており、1社への攻撃が顧客に波及し得ることを示していると指摘しています^[3]。Fireworksは、その後、データストレージと分析システムへのアクセスを厳しくし、ネットワーク経路を制限し、Unit 42とともにログ記録と監視を強化したと述べています^[2]。一般的な予防策として(どちらの企業の発言でもありません)、AIベンダーにデータを送るチームは、何が保存されるのか、どのくらいの期間か、インシデントがあったときどれだけ早く知らされるのかを尋ねることができます。