2022年8月から2026年8月にかけて公開状態で流出したAmazon Web Services(AWS)のアクセスキーのうち、9,300件以上が今なお有効なまま存在しています。
Truffle Securityはこの流出状況を過去4年間にわたって追跡調査しており、流出したキーのうち817件が企業に紐づくものであり、そのうち526件がAWSルートキーだったと報告しています。
研究者らによると、242件のキーはAdministratorAccessポリシーを持つIdentity and Access Management(IAM)ユーザーに関連付けられています。このロールは、アカウント内のほぼすべてのAWSサービスとリソースに対して、作成・変更・削除・閲覧の完全な権限を持ちます。
研究者らは、2つのセットに含まれる有効な768件のキーそれぞれが「企業のAWSアカウントを完全に掌握できる」状態にあったと指摘しています。
同社はコードリポジトリ、Git履歴、データセット、Dockerイメージ、レジストリ、CIログにわたって431,875件のAWSシークレットを発見し、重複を除去した結果、50,654件のAWSアカウントに対応する64,024件のユニークなAWSキーを抽出しました。
ただし、研究者が再検証に使える完全な認証情報を保持していたキーは10,616件にとどまり、そのうち88%が8月10日時点でも認証に成功したとのことです。
Amazon Web Services(AWS)は、企業がウェブサイトやアプリケーションのホスティング、データの保存、データベースやサーバーの運用、ドメイン管理、オンラインインフラの運用に利用する、Amazonのクラウドコンピューティングプラットフォームです。
企業のAWSアカウントを完全に掌握されると、攻撃者はクラウド上でホストされているデータへのアクセス・窃取・消去を行えるほか、サーバーやアプリケーションを乗っ取ったり、持続的なアクセスを確保するために不正な管理者アカウントを作成したりすることが可能になります。
攻撃者はこのアクセス権を悪用してクリプトマイナーを展開し、企業に多額の費用を負担させることもできます。Truffle Securityによると、閲覧可能だった2,754件のアカウントのうち、予算アラートが設定されていたのはわずか262件だったとのことです。
開発者がAIモデルやデータセット、アプリケーションを共有する人気のオンラインプラットフォームであるHugging Faceは、流出したAWSキーの単一の発生源としては最大で、8,482件のユニークなキー流出を占めていました。
また、これらのキーのうち17.9%はルートキー、つまりIAM権限による制限を受けない最高権限のIDでした。
Truffle Securityによると、作成日が判明している2,903件のキーについて、経過日数の中央値は1,831日(約5年)で、最も古いものは17.4年間存在し続けていたことが分かりました。
これらのうち、同じユーザーに紐づくより新しいアクセスキーが存在していたのはわずか398件(13.7%)で、大半のキーが一度もローテーションされていなかったことがうかがえます。
こうした悪用を防ぐため、研究者らはすべてのルートアクセスキーを削除すること、IAM認証情報を作成日順に見直すこと、流出したキーをローテーションまたは失効させること、そして予算アラートを設定することを推奨しています。
また、公開されているソースにコミットされた認証情報は、すべて漏洩済みとみなして扱うべきだとしています。
Truffle Securityは、今回のテストは読み取り専用のメタデータに限定して実施したものであり、流出した認証情報の判明しているすべての所有者にはすでに通知済みであると述べています。
