# 預けたAPIキーが使われる。AI利用料の急増も調べる

Canonical: https://security.qutori.jp/analysis/wiz-ai-platform-key-abuse-oct2026.html
Language: ja
編集・日本語要約: バグマゲドン対策委員会
本ページ内容更新日: 2026-11-01

AI開発サービスの侵害後、預けていた企業のキーが不正利用された事例をWizが報告した。

日本語要約・編集：バグマゲドン対策委員会。本記事公開：2026-11-01 / 本記事更新：2026-11-01 / 原文確認：2026-11-01。

原文発行：Wiz Research / 原文の分析者・著者：Benjamin Read / Rami McCarthy / 原文公表：2026-10-30。

観測期間・対象時点：2026年10月の報告と認証情報悪用の観測

報告の対象範囲：Wizが観測した企業の事例。日本企業の被害件数は不明。

## 観測・報告されたこと

例示された2事例では、少量の利用確認が続いた後に大量のBedrock呼び出しへ移行。リージョン制限があるキーも悪用された。

- 2事例の初回不正利用は、委託先で報告された認証情報へのアクセスから30分以内だった。

## 分析者の見解

複数者によるキーの利用は認証情報の転売市場を示唆するという分析。転売者と最初の侵入や大量悪用との直接関係は未確定としている。

## 自社で確認すること

外部サービスに渡したAPIキーを確認し、漏えいが疑われるキーは無効化・再発行する。普段と異なる送信元や利用量を調べ、請求額の監視だけに頼らない。

原文の分析に基づく編集部の確認案

## 読み取るときの注意点

- 掲載された9社を結ぶ共通の脆弱性・依存先は未確認。同じ時期の被害だけで侵害経路をつながない。被害額の推計やSNS報告は確定損害と扱わない。

## 原文

- [Wiz Research — “Black October” for AI Developer Platforms](https://www.wiz.io/blog/black-october-for-ai-developer-platforms)

一次資料の要点を独自の日本語で再編集。全文翻訳・直接引用ではない。「自社で確認」は編集部による一般的な確認案。分析者の見解と確認された事実を分ける。地域は主な発信地域で、攻撃元を示さない。

- [ニュース・海外分析一覧](https://security.qutori.jp/news.html)
- [出典・編集方針](https://security.qutori.jp/about.html)