1Passwordは2026年10月14日付で、盗まれたAWSの認証情報を使った攻撃と、侵入を継続する手法を解説しました。攻撃者は複数のAWS顧客の環境に入り、暗号資産の採掘処理を展開したほか、権限を持つロールを新設していました。情シスが確認する対象は、盗まれた認証情報だけでなく、侵入後に追加された権限や設定にも及びます。
侵入から約10分で採掘処理を展開
1Passwordによると、攻撃者は盗んだIAM認証情報を使って顧客環境にアクセスしました。IAMは、AWSで利用者や処理に与える権限を管理する仕組みです。対象となった顧客には直接通知されたとしています。
同社の説明では、AWSは自社インフラの欠陥が原因ではないと確認しています。また、攻撃者が行った全ての操作は、侵害されたIDに付与されていた権限で許可されていたといいます。今回の確認の軸は、基盤の修正ではなく、認証情報と権限の管理です。
攻撃者は、仮想サーバーを動かすEC2と、コンテナを実行するECSで採掘環境を構築しました。自動化によって、侵入から約10分で採掘処理を展開し、上限までEC2インスタンスとECSタスクの起動を試みたとしています。認証情報の悪用を調べる際は、権限だけでなく、起動された処理も確認対象にする必要があります。
新設ロールと終了保護も確認対象に
攻撃者は被害者の権限を使い、2つのIAMロールを新設しました。ロールは、処理などに権限を与えるための仕組みです。1つはAuto Scalingグループ用、もう1つはLambda実行ロールでした。後者にはAWSLambdaBasicExecutionRoleを付与しています。
さらに、EC2にDisableApiTermination=trueを設定しました。1Passwordによると、この設定は削除前に手動で解除する必要があり、自動復旧を妨げます。不審な処理を止める対応では、起動したリソースの一覧だけでなく、削除を妨げる設定も確認することが重要です。
対策として同社は、機密性の高い権限を常時持たせないZSPを推奨しています。必要な時だけ権限を与え、対象を作業に限定し、自動失効させる運用です。機密性の高いロールを使う際には、追加検証や承認を求めることも勧めています。
影響する会社・しない会社
- 影響する: AWSを利用し、IAM認証情報にEC2やECSの起動、IAMロールの作成などの権限を与えている会社です。今回の手口を踏まえ、付与権限と利用状況を確認する対象になります。利用しているだけで被害があるという意味ではありません。
- 影響する: AWSから対象顧客として直接通知を受けた会社です。通知内容に沿って、侵害されたIDと、そのIDで行われた操作を確認する必要があります。
- 影響しない: AWSを利用していない会社は、今回説明されたAWS環境への攻撃の直接の確認対象ではありません。他のサービスの認証情報が安全だと示す発表でもありません。
対象顧客の具体的な地域や規模、日本の顧客が含まれるかは、発表には書かれていません。本発表は攻撃手法と対策の解説で、日本での提供は発表には書かれていません。
情シスが今日やること
以下は、今回の手口を踏まえた確認手順の提案です。
- 本日、AWSから対象顧客向けの通知を受けていないか、AWS運用担当と委託先に確認します。通知がある場合は、インシデント対応責任者にも共有します。
- IAMの管理画面で、ロールと付与権限を確認します。特にAuto Scalingグループ用とLambda実行用の新設ロールについて、作成者と用途を運用担当に照会します。AWSLambdaBasicExecutionRoleの付与だけで不正と決めず、承認された作業かを確かめます。
- EC2とECSの管理画面で、心当たりのないインスタンスやタスクを確認します。EC2ではDisableApiTerminationの設定も確認し、不審なリソースを削除する際に手動解除が必要かを整理します。
- 本日の確認結果をAWS運用責任者に共有し、機密性の高い権限を常時付与しているIDを見直す担当と期限を決めます。作業時だけの付与、作業対象の限定、自動失効、追加検証や承認を検討項目にします。
