漏洩状態のAWSアクセスキー数百件、悪用されれば企業アカウントの完全制御が可能に

漏洩AWSキー数百件により企業アカウントの完全制御が可能に

BleepingComputer – August 21, 2026

2022年8月から2026年8月の間に公開状態となったAmazon Web Services（AWS）アクセスキー10,616件をTruffle Securityが再検証した結果、うち88%が今なお認証可能な状態になっていたという。

Truffle Securityは、一般にアクセス可能な状態となったこれらのAWSアクセスキーを4年前から追跡していた。同社によれば、全体の88%にあたる9,308件のアクセスキーが現在も有効で、うち817件が何らかの企業と紐づいているという。これらの企業を業界別に見ると、ソフトウェア、クラウド、ITコンサルティング部門への偏りが見受けられるほか、あるグローバルコンサルティング企業については、複数の別のアカウントにおける異なる漏洩キー19件が漏洩していたという。

公開状態の有効な企業アクセスキーのうち、526件はrootキー。また、242件はIAMユーザーと紐づいており、「AdministratorAccess」権限を有するとされる。Truffle Securityによれば、これら2つのセットには重複がないため、両者を足した768件の有効なキーにより、企業のAWSアカウントに対する完全な制御権が付与されることになるという。なお、残りの49件は管理者権限以下の範囲に限定されている。

AWSは、企業がWebサイトやアプリケーションのホスティング、データの保存、データベースやサーバーの運用、ドメインの管理、およびオンラインインフラの運用を行うために利用する、Amazonのクラウドコンピューティングプラットフォーム。攻撃者が企業のAWSアカウントを完全に制御できるようになれば、クラウド上でホストされているデータへのアクセス、データの持ち出し、または消去が可能となる。また、サーバーやアプリケーションを乗っ取り、持続的なアクセス権を得るために不正な管理者アカウントを作成することもできるようになる。

加えて、脅威アクターがこのアクセス権を利用して暗号資産マイナーを展開し、企業に多額の費用を発生させる可能性もあり得る。Truffle Securityによると、AWS Budgetsを読み取り可能な2,754アカウントのうち、予算アラートが設定されていたのはわずか262アカウントのみだったという。

潜在的な悪用を防ぐため、Truffle Securityは、すべてのrootアクセスキーを削除すること、IAM認証情報を有効期限に基づいて確認すること、漏洩したキーを更新または無効化すること、また予算アラートを設定することを推奨している。同社は、今回のテスト対象が読み取り専用のメタデータに限定されていたことに触れた上で、漏洩した認証情報の所有者として特定可能なすべての人物に通知を行ったと述べた。