53万5000のオープンなクラウドバケットで196億件のファイルが露出

53万5000のオープンなクラウドバケットで196億件のファイルが露出

Mysterium VPNの新たなレポートは、セキュリティ研究者が何年も警告してきた問題に驚くべき数字を突きつけた。現在、196億件のファイルがインターネット上で誰でもアクセス可能な状態で放置されており、パスワードも認証もハッキング技術も不要な53万5000以上の設定不備のあるクラウドストレージバケットに保存されている。その中には、攻撃者に稼働中のシステム、データベース、内部インフラへの直接アクセスを許しかねない70万件近くの認証情報やキーファイルが含まれている。

これは従来の意味での侵害ではない。脆弱性を悪用したり、ネットワークトラフィックを傍受したりする必要は一切なかった。データは単に、誤った設定のまま放置されたクラウドストレージの結果、オープンになっているだけなのだ。

露出の規模：196億ファイル、パスワードなし

露出したデータの膨大な量は、文脈を捉えにくい。50万を超えるストレージバケットに分散した196億件のファイルは、これまでに記録された設定不備のクラウドストレージ露出として最大級の事例である。これらのバケットは、個人開発者から大企業まで、あらゆる規模の組織がアプリケーションデータ、バックアップ、ログ、機密記録を保管するクラウドプラットフォームにまたがっている。

クラウドストレージの設定不備は新しい問題ではないが、今回報告された規模は、それが解決には程遠い問題であることを示唆している。デフォルト設定、急ぎ足のデプロイ、クラウドセキュリティ知識の欠如が、バケットが誰でも読み取り可能な状態で放置される要因となっている。多くの場合、責任を負う組織は、自らのデータが露出していることすら認識していない。

これは、他の注目を集めたインシデントで見られたパターンを反映している。FTF Liveでの設定不備の分析ダッシュボードでは、最近2200万件以上のビデオチャットセッション記録が誰でもアクセスできる状態で放置されていた。これは、単一のインフラの見落としが、いかなる能動的な攻撃もなく、大規模に機密データを露出させることを如実に示している。

認証情報とキーファイルが最も危険な漏洩である理由

露出した196億件のファイルのうち、約70万件の認証情報とキーファイルが、圧倒的に最もリスクの高いカテゴリである。これらのファイルは、APIキー、データベースパスワード、秘密暗号鍵、SSH認証情報、クラウドプロバイダーのアクセストークンを含むことが多い。

攻撃者がオープンバケットで認証情報ファイルを見つけた場合、次に技術的に高度なことをする必要はない。これらの認証情報を入手し、保護対象のシステムに直接認証すればよい。それは、本番データベースへの読み書きアクセス、他人のアカウントでのクラウドインフラの起動、本来なら完全に立ち入り禁止の内部システムへの侵入を意味しうる。

データベースダンプは、別個だが同様に深刻なリスクをもたらす。これらのファイルは多くの場合、ユーザーレコード、ハッシュ化または平文のパスワード、個人情報、取引データを含む。医療機関、金融プラットフォーム、eコマースサイトからのデータベースダンプには、個人情報の窃取、アカウント乗っ取り、恐喝を目的とする攻撃者が必要とするすべてが含まれている可能性がある。

クラウドの設定不備がVPNで保護されたネットワークさえも回避する仕組み

この種の露出の直感に反する側面の一つは、組織が依存する多くのセキュリティ管理策を迂回することだ。VPN、ファイアウォール、ネットワークアクセス制御は、システム間を移動するトラフィックを保護するために設計されている。しかし、データがパブリッククラウドバケットに保存されている場合、それらの保護されたネットワークを全く通過しない。インターネット接続があれば誰でも到達できる場所にデータが置かれているのだ。

つまり、ある国の攻撃者は、企業ネットワークへのアクセス権がなく、ファイアウォールを回避する能力がなくても、公開URLに直接アクセスするだけで、露出したバケットの内容を取得できる。データは、ほとんどの組織のセキュリティツールが防御するように設計された境界の外側に存在する。

これこそが、設定不備のクラウドストレージの露出が、脅威アクターによるデータ収集の最も効率的な経路の一つとなっている理由である。検出すべき攻撃はなく、警告すべき異常なトラフィックもなく、調査すべき侵入もない。インフラの視点からは、オープンバケットを読み取る行為は通常のトラフィックと見分けがつかない。

組織と個人が今すぐ取るべき対策

クラウドストレージを管理する組織にとって最も緊急のステップは、アクセス許可の監査である。意図的かつ文書化された理由がない限り、全ストレージバケットを見直し、パブリックアクセスに設定されていないことを確認すべきだ。AWS、Google Cloud、Azureを含む主要クラウドプロバイダーはいずれも、過度に寛容なアクセス制御を持つバケットを特定するツールを提供しており、デフォルトで全パブリックアクセスをブロックするアカウントレベルの設定を提供するところもある。

アクセス許可に加えて、認証情報の衛生管理は極めて重要である。認証情報やキーファイルは、いかなる状況でもクラウドストレージバケットに保存すべきではない。APIキー、トークン、認証情報を安全に扱うためにシークレット管理ツールが存在し、それらをファイルストレージから完全に排除する。

個人にとってのリスクは、自分が管理するものよりも、自分のデータを保持する組織が管理するものに関わる。実践的な対策は馴染み深いものだ。各アカウントに一意で強力なパスワードを使用し、あるサービスの認証情報流出が他のサービスを解除できないようにすること、多要素認証を提供している場所では必ず有効にすること、アカウントに不審なアクティビティがないか監視すること。

Mysterium VPNの調査結果は、最も重大なデータセキュリティリスクの一部は、洗練された攻撃を全く含まないことを思い出させる。それらは、数ヶ月から数年にわたってチェックされない通常の管理上の見落としを含む。クラウドストレージの衛生管理の監査は華やかな仕事ではないが、このレポートが示す規模において、組織が今すぐできる最も重要なセキュリティ業務の一部である。