AWS に対するパスワード・スプレー・キャンペーン：root ユーザーアカウントが標的

Hackers Launch Password Spraying Attacks Against AWS Root Accounts at 150+ Organizations

2026/09/01 gbhackers — AWS の root ユーザー・アカウントを標的とするパスワード・スプレー・キャンペーンが、150 を超える組織を対象に展開されていたことが調査で明らかになった。この活動は、クラウド環境で最高権限を持つアイデンティティの侵害を狙う攻撃者の継続的な試みを浮き彫りにするものであり、2026年7月24日から 8月23日までの約 1 カ月間に、AWS root アカウントに対する複数回の認証失敗が確認された。影響を受けた組織の大半では試行回数の中央値が 2 回だった一方、最大 8 回の試行を受けた組織も存在する。

Datadog Security Researchers は、このキャンペーンに関連するログイン成功を確認していないため、攻撃者の最終的な目的は不明である。ただし、AWS root アカウントの侵害に成功した攻撃者は、組織のクラウドリソース／請求データ／アカウント設定などに対して広範な管理権限を行使する可能性がある。

AWS に対するパスワード・スプレー攻撃

観測された活動では、広範なプロキシ・ベースのインフラの悪用により認証リクエストがトンネリングされている。脅威インテリジェンス・サービスによると、送信元 IP アドレスは多数の国／Autonomous System (AS) に分散し、ホスティング・インフラ／住宅用プロキシ／匿名化サービスに分類されるという。

この悪意のアーキテクチャにより、IP アドレスベースのブロックは効果が低下し、攻撃主体の特定も困難になるため、Datadog は被害組織の間に共通する明確なパターンを確認できていない。標的となった組織は多様な業界／地域にまたがっており、特定の業界に焦点を当てたキャンペーンではなく、機会主義的な標的化であることが示唆される。

ログイン試行には、次の 2 種類のブラウザ User-Agent 文字列が一貫して関連していた。

• Mozilla/5.0 (Windows NT 10.0; Win64; x64)／AppleWebKit/537.36 (KHTML, like Gecko)／Chrome/85.0.4183.83／Safari/537.36 Edg/85.0.564.41
• Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:120.0)／Gecko/20100101 Firefox/120.0

この活動の注目すべき特徴は、root ユーザーによる AWS ConsoleLogin イベントが成功するにも失敗するにも、その試行には当該アカウントにひも付けられたメールアドレスが必要になることだ。このことから、脅威アクターはすでに root アカウントのメールアドレス一覧を保有している可能性があり、その入手元としては、過去の侵害で得られた情報／公開された記録／OSINT による情報収集／認証情報データセットなどが考えられる。

別の可能性として、攻撃者が既知の企業メールアドレスを含む広範なリストをテストし、その中から AWS root ユーザーに登録されているアカウントを特定していることも考えられる。

パスワード・スプレー攻撃では、多数のアカウントに対して限定された数のパスワード試行が実行される。それにより、大量の試行を行うブルートフォース攻撃に対して一般的に用いられる、従来のアカウント・ロックアウト制御が回避される可能性がある。

AWS root ユーザーはアカウントに対する完全な権限を持つため、攻撃者にとって極めて価値の高い標的である。AWS は root ユーザーに対して多要素認証 (MFA) を強制し、すべての root アクティビティを監視することを推奨しているが、攻撃者は MFA の登録が完了していないアカウント／脆弱なアカウント復旧ワークフロー／過去に認証情報が露出したアカウントなどを標的にし続ける可能性がある。

セキュリティチームに求められるのは、AWS CloudTrail ログで root ユーザーによる ConsoleLogin イベントについて、成功／失敗の両方を確認することである。対象を絞ったクエリでは、”userIdentity.type\:Root”／”eventName\:ConsoleLogin”／認証失敗の結果に加えて、確認された Chrome／Edge と Firefox の User-Agent を条件に含める必要がある。

組織にとって必要なことは、次の項目についてもアラートを設定することだ。

• root コンソールへの直接サインイン／root ユーザーによる API アクティビティ。
• root 認証情報／MFA 設定／アカウント復旧設定の変更。
• 通常とは異なる送信元 IP アドレス／リージョン／接続先コンソール。
• 一元化された root アクセス・メカニズムを介して開始された特権セッション。

外部への露出を減らそうとする組織に求められるのは、可能な限り root ユーザーへの恒常的なアクセスを排除することである。AWS Organizations の Service Control Policy (SCP) においては、メンバー・アカウントにおける root ユーザー操作の制限が可能である。

その一方で、恒常的なアクセスが排除された場合であっても、一元化された root アクセス・メカニズムは、短時間だけ有効な AssumeRoot セッションをサポートする。ただし、管理アカウントの root 認証情報には、個別の厳格な保護策が必要となる。

Amazon Web Services (AWS) の root ユーザーアカウントを標的とした分散型パスワードスプレー攻撃が確認されています。攻撃成功時には組織の全クラウドリソース／請求データ／無制限の管理権限漏洩／システム破壊／不正利用へ繋がる深刻な被害が生じる恐れがあります。対策として AWS CloudTrail ログにおけるログイン試行の監視／多要素認証 (MFA) の徹底／AWS Organizations の Service Control Policy (SCP) による操作制限／AssumeRoot セッション活用によるアクセス最小化の実装が求められます。