目を覚ませ！僕らの認証情報が何者かに侵略されてるぞ

2026/11/15
JAWS-UG千葉支部 x 東葛.dev コラボLT大会

1. 目を覚ませ！僕らの認証情報が 何者かに侵略されてるぞ 2026/11/15 きとう
2. 自己紹介 なまえ おしごと • きとう、てきとう、tkito • 企業で社内SOCの中の人とかIRとか • Twitter: @tkito しゅみ • ゲームしたり海に潜ったり徳を積んだり 目を覚ませ！僕らの認証情報が何者かに侵略されてるぞ 2
3. AWSの認証情報はいろいろな手口で狙われている • どんな手口があるのか • 何が目的なのか • どう対処するべきか 目を覚ませ！僕らの認証情報が何者かに侵略されてるぞ 3
4. 手口① 間違ってアップロードされた情報を取得 • レポジトリに間違ってアクセスキーなどを書き込んでしまう • S3にアクセスキーを含んだ情報をアップロードしてしまう S3 アクセス キー レポジトリ 目を覚ませ！僕らの認証情報が何者かに侵略されてるぞ 4
5. 手口② InfoStealerマルウェアで盗まれる • ソフトウェアを騙るマルウェアをダウンロード、実行してしまう • 偽の採用面談などで実行させられる • ソフトウェアサプライチェーン攻撃 目を覚ませ！僕らの認証情報が何者かに侵略されてるぞ 5
6. 手口③ フィッシングで盗む • 偽の通知メールから偽サイトにアクセスして認証情報を入力してしまう 偽の通知 入力 偽のログイン画面 認証通信を中継 正規AWS 認証情報を悪用 不正アクセス 目を覚ませ！僕らの認証情報が何者かに侵略されてるぞ AWSコンソール 6
7. 手口④ フィッシングで盗む (2) • “aws login –remote”で生成されたURLにアクセスさせて認可コードを入力させる 正規AWSの認証画面 aws login --remote サインイン・MFAを完了 認可コードを表示 認可コード 目を覚ませ！僕らの認証情報が何者かに侵略されてるぞ AWSコンソール 7
8. 攻撃者は盗んだ情報をどうするのか • 別の攻撃の基盤として使う • SESを使ってフィッシングメールを大量送信 • SNSを使ってフィッシングSMSを大量送信 • 売る • 別の攻撃者に売る（価値ある組織の情報だと高くなる） • そのまま使う • 暗号通貨マイニング • SMS Pumping（SMSを送ることで収益を得られる仕組みを悪用） • ランサム攻撃 目を覚ませ！僕らの認証情報が何者かに侵略されてるぞ 8
9. どう守ればいいか • 利用端末側で守る • Betterleaksを使ってコミット前に機微情報が含まれていないかチェックする • パスワードマネージャを使う • EDRなどで感染を検知 • AWS側で守る • 期間の長いアクセスキーを使わず一時的なIAMロールを利用する • “aws login”を使う • CloudTrailで記録を取る、GuardDutyで検知して対応 • 人間の意識を高める • 変なソフトは導入しない • AWS公式以外にAWSの情報を入れない • 他の人に要求されてAWSログインしない 目を覚ませ！僕らの認証情報が何者かに侵略されてるぞ 9
10. まとめ • 僕らの認証情報はいつでも狙われている • 利用端末とAWS側と双方の防御を固めよう • 人間の意識も高めよう 目を覚ませ！僕らの認証情報が何者かに侵略されてるぞ 10
11. おしまい きとう @tkito 11