新たに特定された768件のアクティブかつ公開状態にあったAWSアクセスキーにより、攻撃者が企業のクラウドアカウントを完全に管理者権限で掌握できる状態にあったことが判明しました。
これらの認証情報には、ルートアクセスキー526件と、AWSのAdministratorAccess権限を付与されたIAMユーザーキー242件が含まれており、アカウント乗っ取り、インフラの悪用、データ窃取、さらには多額のクラウド利用料金詐欺につながる直接的な経路を作り出していました。
この調査結果は、2022年8月から2026年8月にかけて公開状態にあった認証情報を大規模に検証した結果に基づくものです。Truffle Securityは8月10日に10,616組のAWSキーペアを再検証したところ、88%が依然として認証に成功することが分かりました。
これらのキーは、公開されているGit履歴、Hugging Faceのデータセット、Dockerイメージ、パッケージレジストリ、CI/CDログなどから発見されました。
認証情報そのものやアカウントの身元は公表されていませんが、この規模の大きさは、漏洩したシークレットが最初に公開されてから長期間にわたり悪用可能な状態が続き得ることを物語っています。
より広範なデータセット全体では、公開状態で発見された431,875件の中から、研究者らが64,024組のユニークなAWSアクセスキーペアを検証しました。このうち10,625件がルート認証情報で、全体の16.6%を占めています。
ルートアクセスキーは、IAM権限による制限を一切受けないため、AWSにおけるセキュリティ上の失敗の中でも最も深刻な部類に入ります。
有効なルートキーを保有する者は事実上アカウントの所有者となり、セキュリティ設定の変更、課金設定へのアクセス、ユーザーの作成、リソースの削除、さらにはAWSアカウント自体の完全な閉鎖まで行えてしまいます。
Hugging Faceは、公開状態のAWS認証情報が最も多く見つかった単一のソースであると特定されました。研究者らは3,394件の公開データセットにわたり8,482件のユニークな有効キーを発見し、そのうちルート認証情報が17.9%を占めていました。
影響を受けたデータセットの多くは、AIの学習・開発用に収集された公開ソースコードのコピーを含んでいるとみられます。これにより、恒常的な露出リスクが生じます。一度コミットされた認証情報は、コードアーカイブ、データセット、モデル、コンテナ、さらには派生リポジトリへと複製され、それらは何千人ものユーザーによってダウンロードされる可能性があるのです。
今回の調査では、漏洩した認証情報が非常に古いケースが多いことも明らかになりました。作成日を特定できた2,903件のキーのうち、漏洩状態にあった有効なキーの中央値は1,831日、およそ5年間も放置されていました。
最も古いキーは17.4年前に作成されたものでした。過去30日以内に作成されたキーはわずか25件にとどまり、このリスクの主因が最近の開発者のミスではなく、忘れ去られてローテーションされていない古い認証情報にあることを示唆しています。
キーのローテーション（更新）の実施状況も同様に不十分でした。作成日を特定できた2,903件のキーのうち、同一のIAMユーザーに紐づくより新しい認証情報が存在していたのはわずか398件でした。つまり、およそ86%が一度も更新・ローテーション・削除されることなく放置されていたことになります。
多くの場合、古いキーが稼働し続けていた理由は、放棄されたプロジェクトや実験用アカウント、あるいは組織がもはや積極的に監視していないレガシーな自動化処理に紐づいていたためとみられます。
Truffle Securityはさらに、AWSが以前から多数の認証情報を侵害されたものとして特定していた事実も突き止めました。AWSが公開状態を検知した際に適用するAWSCompromisedKeyQuarantineポリシーの対象となっていたアクティブなIAMユーザーキーは、合計929件に上りました。
さらに憂慮すべきことに、112件のキーはAWSが2023年に発行を停止した旧バージョンの検疫ポリシーが適用されていました。これらの認証情報はおそらく数年前に既にフラグを立てられていたにもかかわらず、依然として認証に成功し、影響を受ける環境内に存在し続けていたのです。
企業に紐づくアクティブなキー817件のうち、768件が完全な管理者権限での操作を可能にしていました。影響を受けた組織はソフトウェア、クラウドサービス、ITコンサルティング業界に集中しており、中にはあるグローバルコンサルティング企業が複数の別個のAWSアカウントにわたって19件ものキーを漏洩させていた事例も含まれます。
Truffle Securityはまた、AWS Organizationsの管理アカウントに紐づく有効なルートキー130件も特定しました。これらが侵害された場合、その組織に接続されているすべてのメンバーアカウントに影響が及ぶ可能性があります。
今回のレポートでは、ルートアクセスキーの廃止、IAMキーの有効期間制限の徹底、漏洩発覚後の即時の認証情報ローテーション、そしてクリプトマイニングや不正なリソース展開を検知するための予算アラート設定を推奨事項として挙げています。
組織は、一度でも公開状態でコミットされたシークレットについては、たとえ元のファイルが削除された後であっても、恒久的に侵害されたものとみなすべきです。
セキュリティチームに、不審な活動をより迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを与えましょう。ANY.RUNで調査を強化する
翻訳元: https://cyberpress.org/768-leaked-aws-keys-expose-corporate-cloud-accounts/
