「今すぐ」と「30 日以内」で開発者端末からの本番到達を断つ（2026-11 実務ガイド）
Binance の巨額盗難や改ざん版 Cursor 拡張を踏まえ、Cognition が企業向けに「今すぐ／30 日以内」のチェックリストを公開。開発者 PC に残るデプロイトークンが一発で本番に届く経路を、認証・端末・依存・監視の順で潰す。
いつ使うか
- 経営層から「直近の事件を受けて何をするか」を短期間で聞かれたとき
- 既存の個別テクニック（パスキー、クールダウン、拡張の棚卸しなど）を優先度付きで束ねたいとき
今すぐ
- フィッシング耐性 MFA＋管理端末からのサインインを IdP／GitHub／クラウドに義務化（SMS は使わない）。関連: パスキーは「パスワードの後に使う 2 要素目」ではなく、パスワードの代わりとして実装する
- 公開面の棚卸し（ドメイン・管理画面）。前提: 公開した HTTPS サイトは「即」スキャンされる前提で準備する
- パスワードマネージャーと広告ブロッカーを配布（偽インストーラーや改ざんダウンロード広告対策）。
- 開発者端末のシークレットスキャン（クラウド鍵、API キー、SSH、
.env）。本番秘密は端末から外す。関連: AI エージェントの API キーを 10 分で棚卸しする：権限・期限・共有の 3 点を見る、.env を AI コーディングエージェントに読ませない（hooks・deny ルール） - 拡張・プラグイン・MCP の一覧を取り、不要を削除。関連: エディタ拡張の正規更新でバックドアが届いたときの確認と対応（Cursor の Claude Code 2.1.313 事例）、権限ゼロでも危ない：検索を乗っ取る拡張機能と閲覧 URL を送る拡張機能を棚卸しする
- パッケージは公開後 7 日以上、ロックファイルからインストール。関連: 依存パッケージの「クールダウン」設定（minimumReleaseAge / min-release-age）
- 消されない場所へログを送る（IdP、クラウド監査、ソース管理、CI、本番データアクセス）。管理者作成・MFA 変更・大量エクスポートをアラート。
30 日以内
- 全社端末へ MDM＋EDR。ブラウザー／エディタ拡張は許可リスト＋自動更新の遅延。
- 見つかった秘密をシークレット管理へ移しローテーション。クラウドのコーディングエージェントやリモート開発環境へ寄せ、タスク単位の権限にする。
- 依存の削減と、インターネット到達・認証・決済まわりへの AI／従来スキャナ投入（脅威モデルを渡す）。
- 「エンジニア PC 1 台が落ちても本番署名やデプロイに届かない」シナリオで攻撃面を再評価する。
注意
- ガイド自体は既知対策の再掲に近い。新規ツールの導入より、未実施項目の優先順位付けに使う。
- Binance 事案の技術詳細は未確定部分が多い。トークンが端末にあった、という教訓面を採用する。