150組織のAWSルートアカウントを狙うパスワードスプレー攻撃を確認

150以上の組織でAWSルートアカウントを狙うパスワードスプレー攻撃

2026年7月24日から8月23日にかけて、150以上の組織を対象にAWSルートアカウントを狙ったパスワードスプレー攻撃が確認された。攻撃者は、クラウド環境で強力な権限を持つルートアカウントへのアクセスを試みており、一部の組織では1カ月間に最大8回の攻撃が観測された。複数の認証試行が確認されたものの、今回のキャンペーンでログインに成功した事例は確認されていない。

AWSルートアカウントが侵害された場合、クラウドリソースや請求情報を含む重要な管理機能にアクセスされる可能性がある。今回の攻撃では、IPアドレスを基準とした遮断を回避するため、プロキシインフラを利用して複数の国や自律システム（AS）に分散したIPアドレスから認証を試みていた。

攻撃者は大量のパスワードを単一アカウントに試す一般的なブルートフォース攻撃ではなく、少数のパスワードを多数のアカウントに対して試すパスワードスプレーを使用した。試行回数を抑えることで、アカウントロックなどのセキュリティ対策を回避しながら認証を試みる手法となっている。

また、AWSの「ConsoleLogin」イベントではルートアカウントのメールアドレスが必要となることから、攻撃者が標的となるメールアドレスを事前に把握していた可能性も指摘されている。こうした情報は、過去に流出したデータやOSINTなどから収集された可能性がある。

AWSルートアカウントへの攻撃を検知するには、MFAを有効化するとともに、AWS CloudTrailを通じてルートアカウントのログイン試行や操作を監視することが対策となる。また、ルートアクセスの集中管理や認証情報の保護に加え、AWS Organizationsのサービスコントロールポリシー（SCP）を利用してメンバーアカウントでのルート操作を制限することも、攻撃対象を縮小する手段となる。