大規模な調査により、公開状態で漏洩したAWSアクセスキー768件が現在も有効であり、企業のクラウド環境に対するフル管理者権限を保持していることが明らかになりました。これはアカウント乗っ取り、データ窃取、インフラの悪用、そしてクラウド請求詐欺につながる深刻なリスクをはらんでいます。
これらの認証情報には、ルートアクセスキー526件と、AWSのAdministratorAccess管理ポリシーが付与されたIAMユーザーキー242件が含まれています。
攻撃者の手に渡れば、いずれのタイプの認証情報であっても、ID管理、ストレージ、コンピューティングインスタンス、セキュリティ設定、請求設定など、組織のAWSリソース全般、さらには場合によってはアカウント全体に対する広範な支配権を得ることが可能になります。
漏洩したAWSアクセスキー768件が現在も有効
Truffle Securityが公表したこの調査は、2022年8月から2026年8月までの間に公開状態で漏洩したAWS認証情報を分析したものです。研究者らは8月10日に10,616組のキーペアを再検証し、その88%が依然として認証に成功することを確認しました。
比較するホームセキュリティシステム
漏洩したキーは、公開されているGit履歴、Hugging Faceのデータセット、Dockerイメージ、パッケージレジストリ、CI/CDログなどで発見されました。
この調査では影響を受けたアカウントの識別情報や値までは開示されていませんが、依然として有効なシークレットの件数を見る限り、公開状態で漏洩したクラウド認証情報は何年にもわたって使用可能な状態が続くケースが多いことがうかがえます。
データセット全体では、Truffle Securityは431,875件の公開報告事例から64,024組の一意なAWSアクセスキーペアを特定しました。このうち10,625件、割合にして16.6%がルート認証情報でした。
ルートアクセスキーは、IAM権限の制約を受けないため、AWSにおいて最も重大なセキュリティリスクの一つとされています。有効なルートキーを入手した攻撃者は、事実上そのAWSアカウントの所有権を握ることになり、新規ユーザーの作成、セキュリティ制御の変更、データの閲覧・破壊、リソースのデプロイ、請求設定の変更、さらにはアカウントそのものの閉鎖まで行うことができます。
Hugging Faceは、漏洩したAWS認証情報の発生源として単一では最大規模であることが判明しました。研究者らは3,394件の公開データセットにわたり、8,482件の一意な有効キーを発見しており、そのうちルートキーが占める割合は17.9%に上ります。
これらのデータセットの多くは、AIの訓練・開発用に収集された公開コードを含んでいるとみられます。これは長期的なシークレット管理上の問題を引き起こします。
誤って公開リポジトリにコミットされたキーは、訓練用データセット、コンテナイメージ、パッケージアーカイブ、モデル、フォーク、派生リポジトリなどへとコピーされていく可能性があります。元のファイルを削除しても、より広いインターネットのエコシステムから漏洩したシークレットが消え去るわけではありません。
今回の調査では、現在も有効な認証情報の多くが極めて古いものであることも判明しました。作成日を特定できた2,903件のキーについて、有効な漏洩キーの年齢の中央値は1,831日、およそ5年に及びます。最も古い漏洩認証情報は17.4年前に作成されたものでした。
過去30日以内に作成され、なおかつ列挙可能なキーはわずか25件にとどまりました。これは、最大のリスクが新たに発生した開発者のミスよりも、むしろ忘れ去られた認証情報に由来していることを示しています。
ローテーションの運用状況も芳しくありませんでした。2,903件のキーのうち、同一のIAMユーザーに紐づく新しい認証情報が存在したのはわずか398件で、約86%が一度も置き換えあるいは失効されていなかったことになります。
AWSはすでにAWSCompromisedKeyQuarantineポリシーによって929件の有効なIAMキーにフラグを立てていましたが、それでもなお影響を受けた環境内にキーが存在し続けていました。
企業アカウントに紐づく817件の有効なキーのうち、768件がフル管理者権限を保持したままでした。研究者らはまた、AWS Organizationsの管理アカウントに紐づく有効なルートキー130件も特定しており、これにより連携先のメンバーアカウントもリスクにさらされる可能性があります。
組織はルートアクセスキーを廃止し、キーの有効期限に上限を設け、漏洩した認証情報を直ちにローテーションし、不正な操作がないか監視し、予算アラートを設定すべきです。公開状態で漏洩したシークレットは、すべて恒久的に危殆化したものとして扱う必要があります。
調査の遅れによるインシデントを未然に防ぎましょう。15,000のSOCから得られる脅威インテリジェンスでTier 1を強化: TI LookupをSOCに統合する
翻訳元: https://gbhackers.com/768-leaked-aws-keys-still-active-with-full-admin/
