「ゴースト認証情報」がクラウドシステムを見えないID脅威にさらす

昨年発生した、小規模かつ隔離されたクラウドアカウントを巡る一見些細な内部インシデントは、実はより大きなID問題の前兆であったことが判明しました。30日間休眠状態だったAI対応のワークフローエージェントが突然目を覚まし、通常とは異なる時間帯にAPI呼び出しを連発し始めたことで、異常調査のきっかけとなったのです。

この調査の過程で、Ducker Tech Consultingのディスティングイッシュド・セキュリティアーキテクトを務めるAleksandr Krasnov氏は、「ゴースト認証情報」と非人間アイデンティティ（NHI）が絡み合ったメッシュ構造を発見しました。これらは従来の信頼境界の外に存在しながらも、環境内を横方向に移動し、システムへのアクセス権限を昇格させることができるトークン、エージェント、サービスアカウントでした。Krasnov氏はこのインシデントの詳細については語らなかったものの、これがより大きな死角を露呈させたと述べています。すなわち、AIを多用した高度に自動化された環境において、組織は何を、そして誰を信頼しているのかを把握できなくなっているのです。

悪用されたワークフローエージェントとその休眠中の権限を追跡する過程で、Krasnov氏は従来の信頼モデルの外側に、いかに多くの非人間アイデンティティが静かに存在しているかを目の当たりにしました。さらに懸念すべきことに、その多くがルート権限や管理者権限にまでエスカレートし得ることも判明しました。Krasnov氏は、Black Hat USA 2026終了後に開催されるオンラインセッションの中で、たった一つの漏洩キーをクラウド環境全体の侵害につなげたり、連鎖する信頼関係を悪用してOktaのようなIDプロバイダーへ横展開したりするレッドチーム手法を解説する予定です。

攻撃者は「2週間」かけてフィッシングキャンペーンを構築するか、あるいは「5分」で漏洩トークンを探し出すかのどちらかを選べる、とKrasnov氏は指摘します。同氏によれば、ゴースト認証情報を狙う5分の道を選ぶ可能性の方が高いといいます。

続いてKrasnov氏は、ブルーチームの視点から非人間の信頼関係に関する「信頼できる情報源」を再構築するアプローチへと話を進め、自身が開発したオープンソースツール「NHI Hound」を公開する予定であることを明かしました。このツールは、Okta、GitHub、クラウドIAMプラットフォームなどのプロバイダーからID関連データを取り込み、人間アカウントと非人間アカウントの間に隠れた信頼関係のリンクを可視化します。同氏は最悪ケースの悪用経路をシミュレーションすることで、防御側がどの休眠認証情報が実際に本番環境やIDプロバイダーの管理者ロールへとつながっているかを把握できるようにしています。

このオープンソースツールはまた、組織が保有する非人間アイデンティティおよび人間アイデンティティの全カタログの棚卸しを行い、それらを信頼度の重大性レベルによって分類し、是正策を提案します。Krasnov氏は「クリティカル」な状態について、組織が明示的に定義したことのない暗黙的・推測的な信頼関係によって、低信頼のアイデンティティが実質的にスーパー管理者アカウントと同等の操作を行えてしまう状況だと説明しています。

Krasnov氏はまだNHI Houndの正式な概念実証（PoC）パイロットを組織と共に実施したことはありませんが、中小規模企業（従業員2,000人まで）による非公式なテストでは「非常に良好な結果と、本当に良いフィードバック」が得られているといいます。同氏によれば、小規模で機動力のある組織であれば、このツールを使って非人間アイデンティティの信頼関係グラフを整理するのに現実的には6~9か月程度で済むとのことです。

しかし、大企業ではそう単純にはいきません。管理すべきアイデンティティの数が多いほど、問題はより深刻かつ対処困難になるためです。Krasnov氏の調査によれば、開発者1人当たり最大244個もの非人間アイデンティティを保有しているケースがあり、組織の従業員数がおよそ2,000人を超えると「グラフ全体が非常に、非常に煩雑になり」、アイデンティティの追跡が困難になるといいます。

その結果、大企業ではツールの出力結果が「あまりに雑然としてノイズが多すぎる」ものになりかねず、重大な信頼関係の問題があまりに多く存在するため、どこから手をつければよいのか分かりにくくなる可能性がある、と同氏は指摘しています。

今後についてKrasnov氏は、現行バージョンへの反響やユーザーからのフィードバック次第ではあるものの、より優れた可視化機能や使いやすいグラフ表示、より「見やすい出力」を導入することで、大規模なアイデンティティグラフをより効果的に扱えるようにし、NHI Houndを大企業にも適した形にしていきたいと述べています。Krasnov氏はまた、アイデンティティ管理と信頼境界に関するより広範な再考に向けて取り組んでいることも示唆しています。