鉄道ハック：偽アカウントで110万ドル相当のAIコンピューティングが盗まれる

ハッカーたちは10月中旬の日曜日の夜、クラウドコンピューティング企業Railwayの偵察を開始し、数千ものアカウントに登録した。数日以内に、彼らは110万ドル以上相当の資産を持ち逃げした。The Currencyの報道によると、略奪品のほとんどは暗号通貨から来たものではなく、この作戦は恐喝やランサムウェアを目的としたものではなかった。この事例は、開発者やクラウドのログイン情報を保有する誰もがクラウドアカウントのセキュリティとAIコンピューティング窃盗に注意を払うべき理由を示す明確な例である。

Railway攻撃はどのように展開したか

報じられたタイムラインは短い。偵察は10月中旬の日曜日の夜に始まり、最初に確認されたステップは数千件に及ぶアカウント登録の波だった。数日以内に、攻撃者たちは110万ドル以上と評価される資産を奪取した。

際立つ点が2つある。第一に、攻撃者たちは最初から大規模に動き、単一の高額顧客を狙うのではなく、アカウントを大量に作成した。第二に、身代金要求のメモもデータ漏洩の脅迫もなかった。目的は単純だったと思われる。価値のあるものを奪い、使用するか売却することである。

入手可能な記事の部分では、すべての技術的ステップが説明されているわけではないため、アカウントがどのようにして110万ドルに変わったのかを正確に推測するのは控えるべきである。明らかなのは結果とパターンである。

AIコンピューティングパワーが新たな標的である理由

長年にわたり、教科書的なクラウド悪用の話といえば暗号通貨マイニングだった。攻撃者はサーバーを乗っ取り、他人の電気代を消費してコインを鋳造していた。Railwayの事例は別の方向を指し示している。奪われたもののほとんどは暗号通貨ではなく、AIコンピューティングパワーだったのだ。

経済性を考えれば理にかなっている。コンピューティング能力、特にAIワークロードに使われる種類のものは高価で需要がある。盗まれた記録のデータベースとは異なり、ダークウェブのフォーラムで売る必要も、被害者に対して leverage する必要もない。単に使用するか転売するだけでよく、請求書は他人に回る。

これはまた、価値のあるアカウントとは何かという定義も変える。クラウドプラットフォームへのログインはもはや、保存されたファイルへの扉だけではない。金銭に変換できる従量制リソースへの扉なのだ。同じ論理は暗号通貨プラットフォームへの攻撃にも当てはまる。例えばLiquid Networkハックでは、攻撃者が3億2000万ドルのうち4700万ドルを保持した。どちらの場合も標的は直接金銭化できるものであるが、Railwayの事例はその賞品がもはやコインである必要はないことを示している。

この侵害がクラウドのサインアップと認証情報セキュリティについて暴露するもの

この攻撃の最も注目すべき特徴はその出発点である。数千の新規作成アカウントだ。これは、クラウドサービスの正面玄関であるサインアッププロセスが、既存顧客が使うログインページだけでなく、攻撃対象領域の一部であることを示唆している。

プラットフォームにとっては、アカウントがどれほど簡単に大量作成でき、異常なパターンがどれほど迅速に察知されるかという問題が生じる。個人ユーザーや小規模チームにとっては、教訓は異なるが関連している。コンピューティングへのアクセスを許可するものは何であれ、それがパスワードであれ、APIキーであれ、保存されたトークンであれ、標的になるということだ。

認証情報は通常、悪用されるずっと前に盗まれる。フィッシングページ、マルウェア、侵害されたネットワークがすべて供給源となっている。マイクロソフトが警告したロシアのハッカーがホテルのWi-Fiネットワークを使ってMicrosoft 365のログイン認証情報を窃取している件は、普通のログイン情報が攻撃者の手に渡る一つの方法を示している。認証情報が流出すれば、支払い方法が紐づいたクラウドアカウントは、誰かが他人の費用で使うコンピューティングの供給源になり得る。

これがあなたにとって意味すること

これが重要であるためにRailwayの顧客である必要はない。サイドプロジェクトを運営したり、アプリをホストしたり、モデルをトレーニングしたり、クラウドやAIサービスのAPIキーを保有したりしているなら、攻撃者が現金化できる何かをあなたは持っている。

リスクは主に財務的および運用的なものだ。盗まれたコンピューティングは、予期しない請求書、アカウントの停止、あるいは自分の作業の中断を意味する可能性がある。データ侵害とは異なり、損害はアラートではなく請求書の奇妙な一行として最初に現れるかもしれない。

良いニュースは、基本的な防御策はよく理解されており、そのほとんどは設定に数分しかかからないことだ。

クラウドアカウントとAPIキーを保護する方法

• すべての場所で多要素認証を有効にする。 クラウドプラットフォーム、コードリポジトリ、パスワードをリセットできるメールアカウントを優先する。
• 固有のパスワードを使う。 パスワードマネージャーがこれを実用的にし、一つのサービスが侵害された場合の被害を限定する。
• APIキーを定期的にローテーションする。 スケジュールに従ってキーを交換し、露出した可能性がある場合は直ちに交換する。使わなくなったキーは削除する。
• シークレットをコードに入れない。 公開リポジトリ、共有ドキュメント、チャットメッセージにキーを貼り付けないようにする。
• 請求と使用量のアラートを設定する。 支出上限と異常なアクティビティの通知は、コンピューティングが他人に使われていることの最も早い警告であることが多い。
• 権限を制限する。 各キーやユーザーには、その仕事に必要なアクセス権だけを与える。
• 信頼できないネットワークでは注意する。 ホテル、空港、カフェの公共Wi-Fiは、認証情報が傍受されたりフィッシングされたりする一般的な場所だ。

まとめ：今週中にクラウドアカウントを監査しよう

Railwayの事件は、クラウドアカウントのセキュリティとAIコンピューティング窃盗が現実的で金銭化可能な脅威であり、攻撃者がそれを追求するために数千のアカウントを登録する意欲があることを思い出させる。30分を確保してクラウドと開発者アカウントを見直そう。多要素認証が有効になっていることを確認し、古いAPIキーをローテーションし、使用量と請求のアラートをオンにする。仕事で旅行するなら、ホテルのWi-Fiでログイン情報がどのように盗まれるかを読んで、認証情報がそもそもどのようにしてあなたの手を離れるのかを理解しよう。今の小さな監査は、自分が発生させていない請求書よりもはるかに安くつく。