概要

セキュリティ企業Truffle Securityの調査により、2022年8月から2026年にかけてコードリポジトリやGit履歴、Dockerイメージ、CIログなどに公開状態で流出したAWSアクセスキーのうち、9,300件以上が今なお有効であることが判明した。調査ではコード上に露出した43万1,875件のAWSシークレットを分析し、重複を排除した結果、5万654個のAWSアカウントにひもづく6万4,024件のユニークなキーを抽出。検証可能だった1万616件のうち88%（2026年8月10日時点）が認証を通過し、依然として悪用可能な状態にあった。

企業に紐づくキーは817件確認され、うち526件はAWSにおいて最も強い権限を持つルートキーだった。さらに242件はIAMユーザーに付与されたAdministratorAccessポリシーを保持しており、攻撃者がこれらを悪用すれば企業のAWSアカウントを完全に乗っ取ることが可能な状態にある。

技術的な詳細

流出元として最大だったのはAI開発プラットフォームのHugging Faceで、8,482件のユニークな露出がここから発生していた。Hugging Face経由で流出したキーのうち17.9%はルートキーであり、他のソースと比べて特に危険度が高い。

流出したキーの深刻さを裏付けるのが、その「放置期間」の長さだ。流出から発見までの期間の中央値は1,831日、およそ5年に及び、最も古いものは17.4年間も公開状態のまま有効であり続けていた。ローテーション（キーの再発行・無効化）が行われた形跡が確認できたのはわずか13.7%にとどまり、多くの組織で認証情報の管理体制が長期にわたり機能していなかったことがうかがえる。また、読み取り可能だった2,754アカウントのうち予算アラートが設定されていたのは262件のみで、不正利用による異常な課金を検知する仕組みも十分に整っていなかった。

想定される影響と対応

管理者権限を持つキーが悪用された場合、攻撃者はデータの窃取、稼働中のサーバーやアプリケーションの乗っ取り、暗号資産マイニングツールの展開、さらには永続的なアクセス確保のための不正な管理者アカウント作成まで行える。AWSはBleepingComputerの取材に対し、「露出したキーを認識した際は常に顧客に通知し、徹底的な調査を行った上で隔離ポリシーを適用している」とコメントしている。

セキュリティ専門家は、ルートアクセスキーの使用を廃止し、IAM認証情報を定期的に監査すること、露出が疑われるキーは速やかにローテーションすること、そして予算アラートなど異常検知の仕組みを整備することを推奨している。今回の調査結果は、パブリックリポジトリや第三者プラットフォームへの認証情報の混入がいかに長期間見過ごされうるかを浮き彫りにしており、開発現場でのシークレット管理の徹底が改めて求められている。