クラウドの認証情報が漏れたときの不正利用と高額請求｜予防と初動対応
アクセスキーやパスワードの漏えいで第三者にクラウドを使われ、高額請求が発生する被害の仕組みと予防策、気づいたときの初動対応をまとめました。
クラウドの認証情報（パスワード、アクセスキー、秘密鍵など）が漏れると、第三者に高性能なサーバーを大量に作られ、短期間で高額な請求が発生することがあります。原因として典型的なのは、アクセスキーを公開リポジトリに誤ってアップロードしたことや、パスワードの使い回し、多要素認証を設定していなかったことです。対策の基本は、多要素認証、権限の最小化、認証情報をコードに書かない、予算アラートで早期発見の四つです。万が一被害に遭った場合は、認証情報の無効化、不審なリソースの停止、事業者への連絡の順で、すぐに動くことが重要です。
どのような被害が起きるのか
漏れた認証情報は、自動のプログラムによって、短時間のうちに悪用されることが知られています。典型的な悪用の例は次のとおりです。
- 仮想通貨のマイニング：高性能なサーバーを、多数のリージョンに大量に作って、計算資源を不正に使う。
- 攻撃の踏み台：作成したサーバーから、他のサイトへの攻撃やスパムメールの送信を行う。
- データの窃取：保存されているデータやバックアップを取得される。
- データの削除・暗号化：データを消されたり、暗号化して身代金を要求されたりする。
特に、費用面の被害が大きいのは、マイニング目的の利用です。管理者の権限が奪われると、利用者が普段使っていないリージョンにも、大量のリソースが作られるため、気づくのが遅れることがあります。
主な漏えいの原因
| 原因 | 具体例 | 対策 |
|---|---|---|
| コードへの埋め込み | アクセスキーをソースコードに書き、公開リポジトリに公開する | 認証情報は環境変数や専用の管理サービスに置く |
| パスワードの使い回し | 他のサービスから漏れたパスワードで、クラウドにログインされる | 固有で長いパスワードと、多要素認証 |
| 多要素認証の未設定 | パスワードだけで管理画面に入れる | 管理者は必ず多要素認証 |
| フィッシング詐欺 | 偽のログイン画面で、情報を入力してしまう | 公式のブックマークからアクセスし、不審なメールのリンクを開かない |
| 権限の付与しすぎ | 全権限のアクセスキーを、アプリに持たせる | 必要最小限の権限だけを付与 |
| 退職者のアカウント | 不要なアカウントや鍵が残っている | 退職時に即座に無効化 |
予防策
多要素認証を必ず設定する
最上位の管理者アカウントには、必ず多要素認証を設定します。パスワードが漏れても、第二の認証がなければ、ログインできません。
権限を最小限にする
日常の作業には、最上位の権限を持つアカウントを使わず、必要な操作だけができる、別のユーザーを作ります。アプリケーション用の認証情報にも、そのアプリが必要とする権限だけを付けます。
認証情報をコードに書かない
アクセスキーなどをソースコードに書くのは避けます。環境変数や、事業者が提供する秘密情報の管理サービスを使います。公開リポジトリには、認証情報が含まれていないか、公開前に確認します（公開前に秘密情報の混入を検出するツールもあります）。
認証情報を定期的に見直す
使っていないアクセスキーや、不要なユーザーは、削除します。キーを定期的に更新（ローテーション）する運用も有効です。
予算アラートで早期に気づく
不正利用で費用が急増したとき、早く気づけるように、予算アラートを設定します。異常検知の機能を持つ事業者もあります。予算アラートと費用管理の方法を参照してください。
使わないリージョンの利用を制限する
事業者によっては、使わないリージョンの利用を禁止する設定ができます。日本国内のリージョンだけを使うなら、他のリージョンを制限しておくと、不正に作られるリスクを減らせます。
気づいたときの初動対応
不正利用の疑いがある場合は、時間との勝負です。次の順で対応します。
- 認証情報を無効化する：疑わしいアクセスキーを無効にし、管理者のパスワードを変更する。多要素認証が未設定なら、すぐ設定する。
- 不審なリソースを確認する：すべてのリージョンで、見覚えのないサーバー、ユーザー、アクセスキー、ストレージなどを確認する。
- 不審なリソースを停止・削除する：ただし、調査のために、記録（ログ）を保存しておく。
- 事業者のサポートに連絡する：状況を説明し、指示を仰ぐ。請求について相談する。
- 関係する認証情報を変更する：同じパスワードを使っていた他のサービスのパスワードも変更する。
- 漏えいした可能性のあるデータを確認する：個人情報が含まれる場合は、法令に基づく対応が必要になる場合がある。
請求について
不正利用による請求については、事業者が個別の事情を確認し、対応を決めるのが一般的です。必ず減額や免除されるとは限りません。利用規約で、利用者の責任範囲が定められているためです。ただし、すぐに連絡し、迅速に対処した場合などは、事業者が相談に応じることがあります。
事業者のサポートへの連絡の際は、次のことを準備すると、スムーズです。
- 不正利用に気づいた日時と、きっかけ。
- 取った対応（認証情報の無効化など）の内容と時刻。
- 請求の画面で確認した、不審な費用の内訳。
- 漏えいの原因として考えられること。
事業者との話し合いで解決しない場合は、国民生活センターや、お住まいの地域の消費生活センターに相談する方法もあります（事業者向けの契約の場合は、対象外となる場合があります）。
個人情報の漏えいが疑われる場合
個人情報が漏えいした可能性があるときは、個人情報保護法に基づき、個人情報保護委員会への報告や、本人への通知が義務となる場合があります。対象となる条件や、期限は法令で定められています。個人情報保護委員会の公式の案内を確認し、速やかに、法務の専門家などにも相談してください。
組織での備えと訓練
個人の注意だけでは限界があるため、組織としての備えも必要です。まず、認証情報の取り扱いルールを文章にして、開発者全員に共有します。次に、漏えいが起きたと仮定した訓練を年に一度は行い、誰が事業者へ連絡し、誰が認証情報を無効化し、誰が社内外へ報告するのかを確認しておきます。連絡先の一覧と、事業者のサポート窓口への連絡方法は、障害時にすぐ見られる場所へ保存してください。ログの保存期間も重要です。調査のために必要な操作履歴が残っていなければ、被害の範囲を特定できません。履歴を取得する機能は、被害が起きる前に有効にしておく必要があります。
よくある質問
公開リポジトリに誤ってキーを載せてしまいました。削除すれば安全ですか。
いいえ。一度公開されたキーは、すぐに悪用されるおそれがあります。リポジトリから削除するだけでなく、キー自体を無効化して、新しいものに作り直してください。履歴にも残っている場合があります。
不正利用の請求は、必ず免除されますか。
免除が保証されているわけではありません。事業者が状況を確認して判断します。すぐにサポートへ連絡し、対応の記録を残してください。
多要素認証は、どの方式がよいですか。
認証アプリや、物理的なセキュリティキーが、一般に推奨されます。SMSによる認証は、利用しやすい反面、方式による脆弱性が指摘されることもあります。事業者が対応する方式から、できるだけ強いものを選んでください。
参考にする公式情報
- 情報処理推進機構（IPA） — 情報セキュリティの注意喚起と対策
- 個人情報保護委員会 — 漏えいが生じた場合の報告・通知の案内
- 国民生活センター — 消費生活に関する相談
- Amazon Web Services — アカウントのセキュリティに関する公式ドキュメント
