ベンダーに預けた「合鍵」で複数のAWS環境に侵入　Qubole経由の供給網攻撃をWizが公表

　クラウドセキュリティを手がけるWizは11月9日、データ基盤を提供するQuboleのAWSアカウントに関連する認証情報が悪用され、複数の顧客のAWS環境に攻撃者が侵入していたと公表した。供給網（サプライチェーン）攻撃にあたる。SentraとMandiantが協力して調べたという。

　Wizによると、攻撃者は10月14日から26日にかけ、Qubole関連のAWSアカウントにあるIAMユーザーの認証情報を使った。顧客が「Quboleのアカウントを信頼する」と設定していたIAMロールを引き受け、複数の顧客の環境に入った。そのうえでリソースの一覧を調べ、構成情報やシークレット（秘密情報）を集めたという。

　集める対象は、AWS Lambdaの環境変数、AWS Secrets Manager、AWS Systems Managerのパラメーターストアなど、認証情報が置かれやすい場所だった。見つけた認証情報は、オープンソースのツール「TruffleHog」で有効かどうかを確かめていた。対象にはAWSのアクセスキーのほか、Microsoft Entra IDやOktaの認証情報も含まれていたという。

　データ面では、引き受けたロールで届くS3バケットの一覧を取り、中身を取得した。特定のデータを狙うより、届く範囲を手当たり次第に読む動きで、1回の接続でバケット全体をダウンロードした例もあるとしている。

　Wizは、同じアカウントを使う正規のQubole基盤の通信はAWSのインフラから来ていたと説明した。そのうえで、確認した環境の多くでは、攻撃者の要求が10月中のQuboleアカウントからの唯一のロール引き受けだったという。使われていない連携ロールが残っていたことになる。

　Wizが挙げた対策は、外部アカウントを信頼するIAMロールの棚卸し、使っていない連携ロールの削除、信頼する相手の絞り込み、接続元IPアドレスを制限する条件の追加、S3のデータイベントを含むログの有効化。ベンダーが引き受ける際に添える識別子（外部ID）は秘密情報ではないため、それだけに頼らないよう求めている。

　Qubole側の見解は確認できていない。Wizの記事には、同社の対応や顧客への通知についての記載はない。