AWSのルートユーザーを狙うパスワードスプレー、150超の組織に — 正規メールアドレスの事前把握を示唆、Datadogが報告

Datadog Security Researchは2026年8月31日、AWSアカウントのルートユーザーを狙うパスワードスプレー攻撃のキャンペーンを観測したと公表した。攻撃期間は2026年7月24日から8月23日で、この間に150を超える組織のルートユーザーアカウントに対して繰り返しログイン試行が行われた。1組織あたりの試行回数は中央値で2回、多い組織では8回に上った。攻撃の成功は確認されていないが、失敗したログイン記録自体から攻撃者が正規のメールアドレスを事前に把握していた可能性が浮かび上がっている。

ルートユーザーとは — AWSアカウントの最強の権限

AWSアカウントのルートユーザーとは、AWSアカウントの登録時に作られる最初の利用者であり、そのアカウントのすべてのリソースや請求情報、設定に対する完全なアクセス権を持つ。他のどの権限でも実行できない操作も一部あり、クラウド環境でもっとも強力な身分といえる。

Datadogは、ルートユーザーが攻撃標的として異例である理由を2点挙げている。第一に、AWSはすべてのルート操作の監視を推奨しているため、ルートの行動は他の強い権限よりも注目を集めやすい。第二に、2025年6月以降、AWS IAMはすべてのアカウント種別でルートユーザーの多要素認証（MFA）を義務化している。こうした防御を考えると、盗んだアクセスキーを使うような容易な侵入経路に比べ、ルートユーザーを狙う攻撃は手間がかかるはずだという。

攻撃の指紋 — 2つのユーザーエージェントとプロキシ経由の分散

今回のキャンペーンを特徴づける指紋は2つある。第一に、攻撃に使われた2種類のユーザーエージェント（Chrome 85／Edge 85系とFirefox 120系の文字列）である。第二に、認証リクエストがプロキシ経由で送られていたことである。送信元IPアドレスは多くの国と自律システム（ASN）にまたがり、脅威インテリジェンス上はいずれもホスティング基盤や住宅用プロキシなどとして登録されていた。

標的の組織にも明確な偏りはなく、国や業種は幅広く分散していた。Datadogは攻撃の成功例を観測しておらず、攻撃者の意図は特定できないとしている。

注目点 — 失敗ログに必要な正規メールアドレス

今回の攻撃で注目すべき技術的な点は、失敗したコンソールログイン（ConsoleLogin）のAPI呼び出しを発生させるには、ルートユーザーにひも付く正規のメールアドレスが必要だということである。つまり攻撃者は、試行した組織のルート用メールアドレスの一覧をあらかじめ持っていたか、アカウントのメールアドレス候補を総当たりして有効なものを見つけていたことになる。

Datadogは、入手できた情報が限られ、標的の選び方も一見無作為であるため、攻撃の動機を断定的に判断できないとしている。それでもコミュニティとの情報共有のために活動を公開し、同様の活動を観測した組織に連絡を呼びかけている。

影響の確認とDatadogが推奨する対策

自組織が影響を受けたかどうかは、CloudTrailのログで確認できる。Datadogは、ルート種別のConsoleLoginイベントの成否と、今回の2つのユーザーエージェント文字列で絞り込むクエリを示している。

Datadogは対策として、MFAだけに頼るのではなく、恒久的なルート認証情報への依存自体を減らすことを推奨している。具体的には、AWS Organizationsのサービスコントロールポリシーでメンバーアカウントへの直接のルート操作を防ぐこと、集中化されたルートアクセスで長期の認証情報をなくし、短命なAssumeRootセッションで権限作業を行うことを挙げている。ただし、どちらの仕組みも管理アカウント（マネジメントアカウント）を守らないため、そのルート認証情報には別途の保護が必要だとしている。あわせて、直接のルートサインインやルートのAPI操作、認証情報の変更など、すべてのルート操作を安全保障上重要として扱い、警告を出すことを推奨している。