重要 AWS2026.11.10

Qubole の AWS 連携ロールが悪用され、顧客アカウントの秘密情報が流出

重要ポイント

データ基盤 Qubole が AWS に持つ「信頼された入口」が悪用され、複数の顧客の AWS アカウントから秘密情報とデータが盗まれた(Wiz の調査)
期間は2026年10月14〜26日(別に10月8〜11日にアクセスキーを使った侵害もあったが、関連は不明)
盗まれたのは Lambda の環境変数、Secrets Manager、SSM パラメータストア、S3 のデータなど。CVE 番号はなく、ソフトウェアの修正版もありません
Qubole を AWS につないだことがある組織は、いまは使っていなくても確認が必要です

バージョンと対処(まずここを確認)

製品	影響を受けるバージョン	修正版(これ以上にする)
Qubole(Idera)と連携した AWS アカウントの IAM ロール	ソフトウェアのバージョンの問題ではなく、Qubole のアカウントを信頼するロールがあれば対象	公式情報で未公表(Qubole・Idera は報道時点で声明なし)

対処: IAM ロールの信頼ポリシーに Qubole のアカウントが残っていないかを調べ、使っていないロールは削除します。使い続けるなら、信頼する相手を特定の IAM プリンシパルに絞り、aws:SourceIp などの条件を付けます。

確認: CloudTrail で2026年10月1日以降の AssumeRole を調べ、Qubole 側のアカウントから、AWS 以外の IP アドレスで引き受けられたものがないか見ます(具体的な指標は Wiz の資料を参照)。

概要

Wiz の調査によると、攻撃者は Qubole が顧客の AWS に入るために使うアカウントの認証情報を手に入れ、顧客が Qubole 用に作った IAM ロールを引き受けて、保存されていた秘密情報やデータを読み出しました。認証情報の入手方法は明らかになっていません。ロールの多くは使われていないのに信頼関係が残っていたため、成功しました。

影響と対処

どんな問題か

ベンダーに渡した IAM ロールは、使わなくなっても信頼ポリシーが残ります。External ID は秘密ではなく CloudTrail に平文で記録されるため、これだけでは守れません。攻撃者は引き受けたロールの権限の範囲で、Lambda の設定、Secrets Manager、SSM パラメータ、S3 を読み、取得した AWS のアクセスキーや Entra ID・Okta のクライアントシークレットが使えるかを試していたと報告されています。

対処方法

見つかった不審なセッションの行動(Secrets Manager・SSM・Lambda・S3)を調べる
ロールがアクセスできた秘密情報を入れ替える。発行済みのセッションは認証情報を替えても止まらないため、ロールのセッションも取り消す
不要な Qubole ロールを削除するか、信頼ポリシーから外す
信頼ポリシーのプリンシパルを、アカウント全体(root)ではなく特定の IAM プリンシパルにし、aws:SourceIp や aws:SourceVpce で引き受け元を制限する(調査者は、これだけで観測された引き受けはすべて防げたとしています)
ベンダー用ロールの権限を最小にし、組織全体の証跡と、重要な S3 バケットのデータイベントログを有効にする