預けたAPIキーが使われる。AI利用料の急増も調べる
バグマゲドン対策委員会 · 日本語編集版 · 内容更新 2026-11-01
AI開発サービスの侵害後、預けていた企業のキーが不正利用された事例をWizが報告した。
日本語要約・編集：バグマゲドン対策委員会。本記事公開：2026-11-01 / 本記事更新：2026-11-01 / 原文確認：2026-11-01。
原文発行：Wiz Research / 原文の分析者・著者：Benjamin Read / Rami McCarthy / 原文公表：2026-10-30。
観測期間・対象時点：2026年10月の報告と認証情報悪用の観測
報告の対象範囲：Wizが観測した企業の事例。日本企業の被害件数は不明。
観測・報告されたこと
例示された2事例では、少量の利用確認が続いた後に大量のBedrock呼び出しへ移行。リージョン制限があるキーも悪用された。
- 2事例の初回不正利用は、委託先で報告された認証情報へのアクセスから30分以内だった。
分析者の見解
複数者によるキーの利用は認証情報の転売市場を示唆するという分析。転売者と最初の侵入や大量悪用との直接関係は未確定としている。
自社で確認すること
外部サービスに渡したAPIキーを確認し、漏えいが疑われるキーは無効化・再発行する。普段と異なる送信元や利用量を調べ、請求額の監視だけに頼らない。
原文の分析に基づく編集部の確認案
読み取るときの注意点
- 掲載された9社を結ぶ共通の脆弱性・依存先は未確認。同じ時期の被害だけで侵害経路をつながない。被害額の推計やSNS報告は確定損害と扱わない。
原文
一次資料の要点を独自の日本語で再編集。全文翻訳・直接引用ではない。「自社で確認」は編集部による一般的な確認案。分析者の見解と確認された事実を分ける。地域は主な発信地域で、攻撃元を示さない。