nagwww/s3-leaksAWS S3バケットの設定ミス、公開されたデータ、漏洩したIAM認証情報を厳選したタイムライン。クラウドセキュリティの防御者と研究者向けのインシデントリンク付き。
他のリークをご存知の場合は、お気軽にPRをお送りください
| 日付 | 説明 | 備考 |
|---|---|---|
| April 2025 | S3バケットからのAWSアクセスキーIDに関する考察 | AWS王国への鍵 |
| March 2025 | オーストラリアのNine新聞の購読者16,000人 | 氏名、郵便住所、および/またはメールアドレス |
| Jan 2025 | ノースダコタ州のテレビ局Valley News Liveで180万以上のファイルが流出 | 公開されたファイルのうち100万以上が応募者の履歴書とCVで、氏名、電話番号、自宅およびメールアドレス、生年月日、職歴、学歴が含まれていた |
| Jan 2025 | WebWork - リモートワーカーの勤務時間・生産性の追跡および請求サービス | 1,300万件のログとスクリーンショット |
| Dec 2024 | 数百万のウェブサイトをスキャンし、不適切に設定された公開サイトの脆弱性を悪用するオペレーション | |
| Nov 2023 | MTCはサンフランシスコ・ベイエリアの地域交通計画と資金調達を担当する政府機関である。 | ベイエリア高速鉄道（BART）の相乗り駐車許可証ユーザーの氏名と自宅住所が記載されたPDFファイル |
| Oct 2023 | インドの国家物流ポータルが機密性の高い個人データと貿易記録を暴露 | 機密性の高い個人データと、さまざまな州および民間の貿易記録が暴露された。 |
| Sep 2023 | スイスに本拠を置くWBSCは2013年に設立された | 約48,000ファイルを保存していたバケット。4,600件の各国パスポートのコピー。 |
| Setp 2023 | PricewaterhouseCoopers（PwC）ナイジェリアの機密データが盗まれた | 公開された24,668件のファイルには以下が含まれる：パスポート/政府発行IDのコピー、電話番号・自宅住所・メールアドレスなどの個人情報を含む履歴書、学位/大学の証明書のコピー |
| August 2023 | 英国政府のさまざまな省庁にサービスを提供する施設管理・警備会社MPD FM | パスポート/ビザ/国民ID/運転免許証/出生証明書/身元調査報告書/就労資格確認/雇用契約書/住所証明/銀行取引明細書 |
| May 2023 | ロンドンに拠点を置くアウトソーシング大手のCapita |
| 日付 | 説明 | 備考 |
|---|---|---|
| Sep 2017 | AWSでホストされたElasticsearchサーバーが乗っ取られた |
| 2016年からインターネットに公開されており、合計655GBに及ぶ約3,000件のファイルが含まれていた |
| Jan 2023 | ペガサス航空、AWS S3バケットの設定ミスで6.5TBのデータを漏えい | 航空会社が6.5TBを漏えい |
| Aug 2022 | クラウド設定ミスによりAmazon S3バケットで3TBの機密性の高い空港データが暴露：「生命が危険にさらされる」 | これは確かにS3上の大量のデータだ |
| July 2022 | McGraw HillのS3バケットが10万人の学生の成績と個人情報を暴露 | 22TBのデータと1億1,700万以上のファイル |
| Aug2020 | S3バケットの設定ミスにより、米国・カナダの高齢者182GB分のデータが暴露 | 設定を誤っていたS3バケットは、消費者による評価・レビューサイトのSeniorAdvisorが所有していた。 |
| July2020 | Twilio：誰かが当社の保護されていないAWS S3サイロに侵入し、JavaScript SDKに「悪意のない」コードを追加した | 攻撃者はS3バケット上でホストされているJavaScriptライブラリを更新しようとしたため、他のクライアントに取得される可能性があった |
| Jan 2020 | "暴露されたAWSバケットが再び複数のデータ漏えいに関与" | 英国で働く数千人のコンサルタントに関するパスポートのスキャン、税務書類、身元調査、求職応募書類、経費請求、契約書、メール、給与明細が暴露された。 |
| June 2020 | "720万件のレコードが暴露されたが、BHIMアプリによるものではない" |
| Oct 2018 | 設定を誤ったデータベースにより、MedCall Advisorsの数千件の患者ファイルが侵害 | 氏名、メールアドレスと郵便住所、電話番号、生年月日、社会保障番号。他のファイルには患者の評価や医師との会話の録音に加え、投薬内容、アレルギー、その他の詳細な個人健康データが含まれていた。 |
| Jun 2019 | AWS S3サーバーがFortune 100企業（Ford、Netflix、TD Bank）のデータを漏えい | 世界最大手企業向けにデータ管理、ウェアハウジング、レプリケーションサービスを提供するイスラエルのIT企業Attunityは、3つのAmazon S3バケットをパスワードなしでインターネットに公開したままにしたため、一部の顧客データを暴露した。 |
| May 2019 | Fortune 100の半数を顧客に持つベンダーが1テラバイトのバックアップを暴露した経緯 |
| Mar 2018 | 医療記録と患者・医師間の録音が暴露された | 181の事業拠点の従業員情報、および約3,000人分の個人識別情報（PII）が、保護されていない状態で公開暴露された |
| Mar 2018 | 宝飾品サイトが130万人のユーザーの個人情報（平文パスワードも！）を誤って漏えい | 住所、郵便番号、メールアドレス、IPアドレス。また、データベースには平文パスワードが含まれていたと主張している |
| Feb 2018 | 世界中に公開されたS3バケット：Octoly | 実名、住所、電話番号、メールアドレス |
| Jan 22 | AWSバケット上の機密性の高い医療記録が一般公開されていることが判明 |
| Dec 2017 | AlteryxがS3バケットを匿名ユーザーに開放：1億2,000万の米国の世帯が暴露 | 自宅住所、連絡先情報、住宅ローンの状況、財務履歴 |
| Nov 2017 | フロリダ州タンパに拠点を置く信用回復サービスNational Credit Federationの内部顧客情報111GB | - SSN - 運転免許証、信用報告書 |
| Nov 2017 | Uber、数ヶ月前に発生したハッキングが2017年11月に明らかになった> | 5,700万人のUberユーザーの個人情報と運転免許証番号 |
| Nov 2017 | NSAの漏えいが陸軍の失敗作の諜報システム「Red Disk」を暴露 | 「Red Disk」というコードネームの陸軍諜報プロジェクトからの100ギガバイトのデータ |
| Nov 2017 | オーストラリアのデータ漏えい：政府および民間の約5万人の職員の機密データが一般公開 | 請負業者によって開放されたままになっていたS3バケット |
| Oct 2017 | クラウド漏えいがアクセンチュアのビジネスを暴露した経緯 |
| Oct 2017 | 患者在宅モニタリングサービスが個人の医療データをオンラインに漏えい | 一般公開されたAmazon S3 47.5GB / 316,363 |
| Sep 2017 | Viacom：AWSキー、パスワード、その他の機密情報を含むS3バケットが公開 | 世界中に公開されたS3バケット |
| Sep 2017 | 漏えいしたS3バケットが米国の機密許可保有者数千人の詳細情報を流出 | - テストアカウント内で世界中に公開されたバケット |
| Sep 2017 | 第三者によるデータ漏えいで数百万件のTime Warner Cable顧客記録が暴露 |
| August 2017 | インドのCreditsevaデータ侵害 |
| August 2017 | 公開されたAWS S3バケットがホテル予約サービスのデータを漏えい |
| July 2017 | S3バケットがDow JonesユーザーだけでなくすべてのAWSユーザーを認証するよう設定されていた |
| July 2017 | 大規模なWWE漏えいで300万人のプロレスファンの住所、民族性などが暴露 |
| July 2017 | 大手通信事業者Verizonがデータセキュリティ侵害を被り、1,400万人以上の米国顧客の個人情報がインターネット上に暴露された |
| June 2017 | 1億9,800万人以上の登録米国有権者の個人情報が暴露された |
| May 2017 | 大手防衛請負業者が機密のペンタゴンのファイルをパスワードなしのAmazonサーバーに放置 |
| May 2017 | セキュリティ企業がAWS上に保護されていない米軍画像のバケットを発見 |
| April 2017 | カリフォルニア州の自動車ローン会社が最大100万人分の氏名、住所、信用スコア、社会保障番号の一部を公開したままにしていた |
| Feb 2017 | CLOUDPETSデータベース侵害で子どもの音声メッセージが漏えい |
| Jan 2017 | PaytmのS3バケット設定ミスによりPUT操作が可能に |
| March 2013 | 数千のAmazon S3バケットが開放されたままとなり個人データを暴露 |
| # | 組織 / 日付 | 根本原因 / 認証情報の暴露 | 影響と詳細 | 静的キー / S3使用との関連性 |
|---|
| 1 | 大規模なAWSキーデータベースとランサムウェアキャンペーン（2025年） | 公開サーバーが1億5,800万件以上のAWSシークレットキーのレコードを暴露。1,229件のアクティブなキーがS3バケットの暗号化と身代金要求に使用された。 | 攻撃者は所有者に気付かれないままSSE-Cを使用してS3データを暗号化した。 | 静的キーが商品化されることを示す → S3を直接標的とするランサムウェアへ。 |
| 4 | 環境変数の大規模漏えい（2024年） | Palo Alto Networksの調査：漏えいした.envファイルは90,000件以上で、うち1,185件にAWSアクセスキーが含まれていた。 | リポジトリ、CI/CDログ、設定を誤ったファイルからキーが漏えいした。 | 静的/長期有効なキーが至る所に存在することになるという点を裏付ける → 高リスクな認証情報。 |
| 5 | 開発者によるカナリアトークンテスト（2024年） | 研究者が偽のAWSキーをGitHubに配置。数分以内に使用された（ウェブサイトのみに配置した場合は数日）。 | 公開コード内のAWSキーに対する活発なスキャンが実証された。 | 暴露から侵害までの時間が数分であることを証明 → 迅速な検出とローテーションが必要。 |
| 6 | AWSエンジニアによる漏えい（2020年1月） | AWSエンジニアによる公開GitHubリポジトリに、AWSキーペア（rootkey.csvと名付けられたもの）を含むシステム認証情報が含まれていた。 | リポジトリは約30分以内に発見され、AWSは同日中に是正した。 | クラウドベンダーにも人為的ミスはある → 継続的なスキャンが不可欠。 |
| 7 | 一般的なコードリポジトリでの暴露（2019〜2020年） | AWSキーがGitHub/VCSにコミットされた複数の事例。Mediumの投稿が偶発的な漏えいと攻撃者の自動化を浮き彫りにした。 | しばしば気付かれないが、累積的に大きな攻撃対象となる。 | AKIA...のスキャン、最終使用日の確認、古いキーの無効化の重要性を強調。 |
| 8 | ハニーバケットによるS3偵察リサーチ（2023年） | 研究者がハニーバケットを展開し、認証情報やエンドポイントが表面化するとすぐに自動スキャン/ダウンロード/削除が行われることを示した。 | 実環境で絶え間ない自動偵察が行われていることを示した。 | キーやエンドポイントが一度漏えいすると、S3が即座に標的になることを実証。 |
| 9 | www.codespaces.com（2014年6月17日） | 攻撃者はCode SpacesのAWS IAMアクセスキーの1つへのアクセス権を取得した。正確な手法は公に100%確認されたことはないが、すべての証拠が以下を示している：可能性の高い経路：侵害されたAWSアクセスキー。このキーにより攻撃者は：AWSコンソールへのログインが可能になった | 会社は閉鎖された | その通り、たった1つのAWSキーが会社を倒産させ得る |
