午前2時にバックアップジョブが起動します。1時間後にはスキャナーが同じAWSアカウントを巡回し、4時にはデプロイパイプラインがロールを引き受け、ログ収集エージェントは夜通し動き続けます。これらの動作にはそれぞれ、マシンに発行された認証情報が紐づいています。
攻撃者がこうした認証情報の一つを手に入れれば、同じ隠れ蓑を得ることになります。本番環境における人間以外の活動のうち、通常の業務時間内に収まるのはわずか20%にすぎません。そのため、午前3時の不正なAPI呼び出しも通常のトラフィックに紛れ込んでしまいます。時間帯という情報は、防御側にとってほとんど役に立ちません。
攻撃者はすでにこの点を突いています。2026年6月、盗まれた認証情報と信頼された公開ワークフローを悪用し、「Miasma」と呼ばれる侵害事件ではRed Hatの正規チャネルを通じて悪意あるパッケージが配布されました。その2カ月前には、LiteLLMプロジェクトの侵害がMercorの情報漏洩につながりました。5月には、LLM主導のワークフローが窃取したクラウド認証情報を使い、AWS Secrets Managerからシークレットを取り出す様子を研究者が確認しています。
アカウントを握るのはマシン
本番環境で稼働しているIDの9割は、人間以外のものです。ClearVectorは、同社が監視するAWSおよびGoogle Cloud環境から得たデータをもとに、サービスアカウント、実行ロール、マネージドID、ベンダー認証情報を集計し、『2026 Identity Intelligence Report』の中でこの割合を91%としています。
IDプロバイダーが確認できるのは、誰が認証を通過したかという事実だけです。クラウドポスチャーツールが確認できるのは設定内容だけです。「これらのツールはいずれも、特定のIDの振る舞いが正当なものかどうかを判断できません」とClearVectorの研究者は説明しています。
破壊的な呼び出しの発生源はマシン
本番環境における人間のセッションは、大半が読み取り操作です。観測された人間の活動の99%はDescribe、List、Getといった呼び出しで占められており、これはエンジニアがデバッグやダッシュボードの確認を行っている様子と一致します。
マシンIDはこれとは異なる傾向を示します。削除および終了の呼び出しは、人間以外の活動の3%を占め、これに特権的な作成・変更操作が数ポイント上乗せされます。侵害されたサービスアカウントはマシンならではの速度と量で処理を実行するため、こうしたわずかな割合でもアラートを発する価値があります。
ベンダーはすべてにアクセスできる
サードパーティの認証情報は、ID全体の4%を占めています。上位4つのベンダーIDはいずれも本番環境全体に及ぶアクセス権を持ち、複数のリージョンやサービスにまたがっていました。
そのうちの一つ、あるセキュリティベンダーは、観測された呼び出しの40%を破壊的な操作に費やしていました。残りは読み取り専用のトラフィックでした。
週末は単純なルールが今なお通用する数少ない場面
週末のトラフィックは、IDの種類を問わずいずれも全活動の5%未満にとどまっています。土曜日に急増があれば、特別なモデリングを用いなくてもすぐに目立ちます。
毎晩午前2時に実行されるバックアップジョブは、モデル化するのが容易です。しかし、その処理がある晩に2回実行されたことに気づけるかどうかは、最初の実行記録が誰かの手できちんと保管されているかどうかにかかっています。
翻訳元: https://www.helpnetsecurity.com/2026/08/06/non-human-identities-active-in-production/
