ハッカーが、Quboleに関連するAWS認証情報を盗み、顧客のクラウドアカウントに侵入して、シークレットを収集し、機密データをダウンロードしていたことが分かりました。Wizは、SentraおよびMandiantとの共同調査の中で、2026年10月14日から10月26日にかけてこの攻撃キャンペーンを確認しました。
最初に顧客環境全体で不審なアクティビティを検知し、Wizに警告したのはSentraです。攻撃は、データ処理プラットフォームであるQuboleに対して各組織があらかじめ付与していたアクセス権を悪用したものでした。
被害を受けた複数の企業は、すでにこの連携の利用を停止していたものの、信頼されたクラウドロールを有効なまま残していました。
Quboleの連携では、AWS Identity and Access Management（IAM）ロールを使って顧客アカウント内で処理を行います。顧客はこれらのロールを作成し、QuboleのAWSアカウントによる引き受け（assume）を許可します。Quboleは、各ロールに割り当てられた権限を持つ一時的な認証情報を受け取る仕組みです。
攻撃者は、AWSアカウント805246085872の認証情報を使ってAssumeRoleサービスを呼び出しました。このキャンペーンによるリクエストにはすべて、必要なExternal IDが含まれており、いずれも成功しています。
External IDはクロスアカウントアクセスの制御に役立ちますが、パスワードではありません。今回のケースでは、攻撃者が想定どおりの値を提示できたため、悪意あるリクエストが既存の信頼チェックを通過してしまいました。
最初のアクティビティは、MullvadのVPNアドレスである45.83.220[.]211から確認されました。その後のアクティビティの大半は、OVHのサーバー57.129.54[.]120を使用しています。セッション名には「quiam-」で始まるものが多く、「quiam-enum」や「quiam-scope-full」などがありました。
攻撃者はアカウントに侵入すると、ストレージバケット、データベース、仮想マシン、ネットワーク設定、IDロール、暗号鍵を列挙しました。この偵察により、侵害した各連携ロールがどこまでアクセスできるかが明らかになりました。
続いて攻撃者は、AWS Secrets Manager、Systems Manager Parameter Store、Lambdaの環境変数から認証情報を探しました。Sentraは、EC2の起動データから認証情報を収集しようとする試みも報告しています。
攻撃者はTruffleHogを使い、発見したAWSキー、Microsoft Entra IDのクライアントシークレット、Okta クライアントの認証情報を検証しました。この動きは、盗んだシークレットで、元の顧客ロールを超えたアクセスが可能かどうかを確かめるものです。
データを盗む際、攻撃者はS3バケットを列挙し、オブジェクトを調べたうえで、アクセス可能なファイルをダウンロードしました。セッションによっては、バケット全体をダウンロードしています。
Sentraは、ある企業のアカウント全体で数百万ファイルがダウンロードされたと報告しています。広範な読み取り権限が被害を拡大させたことを示す事例です。
Quboleの連携を利用している組織は、2026年10月1日以降のCloudTrailの記録を確認する必要があります。調査では、アカウント805246085872からのロール引き受けを精査してください。特に、AWSインフラの外部から発信されたリクエストには注意が必要です。
有用な警戒サインとしては、想定外のVPNトラフィック、「quiam-」で始まるセッション名、不審なアドレスに関連するTruffleHogのアクティビティなどがあります。ただし、共有VPNアドレスだけでは侵害の証拠にはならないと、wiz.ioは述べています。
注: IPアドレスやドメインは、誤って名前解決されたりハイパーリンク化されたりするのを防ぐため、意図的に無害化（[.]など）しています。元に戻す場合は、MISP、VirusTotal、SIEMなど、管理された脅威インテリジェンス基盤の中でのみ行ってください。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業の削減を実現しています。チームでの利用を検討する
翻訳元: https://cyberpress.org/hackers-exploit-qubole-credentials/
