Truffle Securityが4年間にわたって追跡した結果、2022年8月から2026年8月の間に公に露出したAmazon Web Services（AWS）のアクセスキー9,300件以上が、依然として有効で認証に利用可能な状態にあることが判明した。露出したキーのうち817件は企業に関連しており、その中にはAWSアカウント内で最高レベルの権限を与えるルートキー（root keys）が526件含まれていた。
研究者らによると、さらに242件のキーは、AdministratorAccessポリシーが適用されたIdentity and Access Management（IAM）ユーザーに関連していた。このポリシーにより、AWSのほとんどのサービスやリソースの作成、変更、削除、閲覧が可能になる。研究者らはまた、調査した2つのグループに含まれる有効な768件のキーは、いずれも「企業が所有するAWSアカウントを完全に掌握」できる権限を与えていたと指摘した。
露出の範囲とキーの出所
Truffle Securityは、ソースコードリポジトリ、Gitの履歴、データセット、Dockerイメージ、コンテナーログ、継続的インテグレーション／継続的デリバリー（CI）ログから、AWSに関連する秘密情報431,875件を発見した。重複を除くと、AWSアカウント50,654件に属する一意のキーは64,024件となった。
再検証を可能にする完全な認証情報が得られたグループには、10,616件のキーが含まれていた。その88％は、8月10日時点でも認証に利用可能だった。開発者がAIモデル、データセット、アプリケーションを共有するプラットフォームであるHugging Faceは、流出キーの単独の情報源として最大であり、8,482件の一意の露出に関連していた。ルートキーはこれらの事例の17.9％を占めた。
実際に何が変わるのか？
攻撃者は、有効なキーに関連付けられた権限のレベルに応じて、クラウド上でホストされたデータへのアクセス、抽出、削除、サーバーやアプリケーションの制御、アクセスを維持するための隠れた管理者アカウントの作成を行える可能性がある。アカウントは暗号資産マイニングツールの展開にも利用される可能性があり、その結果、企業に高額な請求が発生するおそれがある。データを読み取ることができた2,754アカウントのうち、予算アラートが設定されていたのは262アカウントだけだった。
キーの経過期間は、認証情報管理における別の問題も明らかにしている。作成日が判明した2,903件のキーでは、経過期間の中央値が1,831日、つまり約5年に達し、最古のキーは17.4年に及んだ。同じユーザーに関連付けられた、より新しいアクセスキーが存在したのは398件、13.7％にすぎず、大半のキーがローテーションされていなかったことを示している。
リスク軽減のための対策
Truffle Securityは、すべてのルートキーを削除し、IAM認証情報をその経過期間に基づいて見直し、露出したキーをローテーションまたは無効化するとともに、予算アラートを有効にするよう推奨している。また、公開ソースに登録された認証情報は、実際に使用された形跡がない場合でも、侵害されたものとして扱うべきだとしている。
同社は、テストをメタデータの読み取りだけに限定し、特定できたすべての認証情報所有者に通知したと述べた。今回の結果が重要なのは、キーが公開された後も有効なままであると、リポジトリやビルドログに残った古い流出情報が、クラウド基盤への直接的な侵入口に変わり得るためだ。