データ分析基盤サービス「Qubole」(米Idera社傘下)を利用する複数の企業で、2026年10月14日から26日にかけて、Amazonのクラウドサービス「AWS」のアカウントに攻撃者が入り込み、保管していたパスワードなどの秘密情報や業務データを盗み出していたことがわかりました。クラウドセキュリティ企業のWizが11月9日に公表しました。攻撃者は、Qubole側が利用企業のAWSに接続するために使っている認証情報を手に入れ、それを使って侵入したとみられています。どうやって入手したのかは明らかになっていません。
仕組みを身近なたとえで言うと、こうなります。Quboleのように企業のクラウド内で動くサービスは、利用企業から「IAMロール」と呼ばれる“合鍵”を受け取っています。この合鍵は「Qubole社のアカウントから来たアクセスなら、決められた範囲で中に入ってよい」という約束になっています。今回の攻撃者は、その“Qubole社の身分証”にあたる認証情報を使ったため、利用企業側からは正規のアクセスに見えてしまいました。利用企業自身のシステムにセキュリティホールがあったわけではなく、取引先に渡した信頼がそのまま入り口になった、いわゆる「サプライチェーン攻撃(取引先や外部サービスを経由した攻撃)」の一種です。
見過ごせないのは、侵入に使われた合鍵の多くが、普段はまったく使われていないものだった点です。Quboleを試しただけ、あるいはすでに利用をやめた企業でも、合鍵を削除していなければ有効なまま残っていました。中に入った攻撃者は、プログラムの設定や専用の保管庫に置かれたパスワード・接続キーを探し出し、それが実際に使えるかを確かめたうえで、保存されていたデータを手当たり次第にコピーしていたといいます。データの置き場所を丸ごとダウンロードしたケースもありました。
Wizは、Quboleを一度でもAWSに接続したことがある企業に対し、10月1日以降のアクセス記録(CloudTrailと呼ばれるログ)を確認するよう呼びかけています。不審なアクセスが見つかった場合は、その合鍵が触れられた範囲のパスワードやキーをすべて変更し、すでに発行された接続を無効にする必要があります。パスワードを変えるだけでは、すでにつながっている接続は切れない点に注意が必要です。そのうえで、使っていない外部サービス向けの権限は削除する、接続元のネットワークを制限する、外部サービスに渡す権限を必要最小限に絞る、といった対策が勧められています。記事執筆時点で、QuboleやIderaからの公式な声明は確認されていません。
一般の個人がQuboleを直接使うことはほとんどありませんが、今回の件は身近な教訓にもなります。スマートフォンのアプリやWebサービスに「Googleアカウントへのアクセス」などを許可したまま放置していないでしょうか。使わなくなったサービスに与えた権限は、そのサービス側が攻撃されたときの入り口になり得ます。企業でも個人でも、外部に渡した“合鍵”を定期的に見直すことが、被害を防ぐ第一歩です。