Wizは2026年11月9日、データ処理サービスQuboleに関連するAWSアカウントの認証情報が悪用され、複数の顧客環境へ不正アクセスがあったと報告しました。10月14〜26日に、顧客が設定した外部連携用の権限を通じて、認証情報の収集やS3に保存したデータの持ち出しを観測しています。Wizの調査報告

確認したいのは、現在の契約だけでなく、以前使ったサービスに、自社のクラウドへ入れる権限が残っていないかです。Webサイトや業務システムの運用を外注している場合は、保守担当者にも利用履歴を確かめてください。

利用をやめても、接続の許可は残ることがある

Wizが調べた環境の多くでは、10月中、その連携元からの権限利用は攻撃者によるものだけでした。普段使われていなくても、接続を許す設定が残っていたため、アクセスが成立したと説明しています。

今回、優先して確認したいのは、QuboleをAWSに連携したことがある組織です。AWSを使っているだけで、すべての環境が今回の被害対象になるという話ではありません。

自社でQuboleを契約した覚えがなくても、過去のデータ分析案件や委託先による導入がないか、構成資料と管理担当者に確認すると整理できます。

外部サービスに渡す「ロール」とは

AWSのIAMロールは、「どのデータに、どの操作を許すか」を定めた権限のまとまりです。顧客側で用意したロールを外部サービスが一時的に引き受けることで、顧客のAWS環境で作業できます。これを、別のAWSアカウントから利用する仕組みが「クロスアカウントアクセス」です。

確認箇所は二つあります。誰がその権限を使えるかという接続の許可と、使った後に何ができるかという操作範囲です。ログイン用パスワードを渡していなくても、この設定によって外部からアクセスできます。AWSの外部委託先へのアクセス許可の説明

連携で使う「External ID」は、顧客の取り違えなどを防ぐための識別子です。AWSは秘密情報として扱っていません。「External IDが設定されているから大丈夫」と、それだけで安全性を判断しないことが必要です。

保守担当者に確認したいこと

事業担当者は、細かな設定を自分で変更するより、次の結果を担当者から説明してもらうと判断しやすくなります。

  • 過去の連携も含めた一覧： どの外部サービスが、どのAWSアカウントへアクセスできるか。Qubole用の設定や、用途の分からない権限が残っていないか。
  • 継続利用の必要性： 現在も使う連携か。契約終了・試用終了したものは、誰がいつ権限を外すか。
  • 触れられる情報： 顧客データ、バックアップ、他サービスへの接続キーなど、何を読み取り・変更・削除できるか。用途に対して広すぎないか。
  • 停止時の業務影響： 権限を外すと、データ集計や連携処理など何が止まるか。停止と安全な再開を誰が判断するか。
  • 利用記録と担当者： 不審なアクセスを調べる記録が残っているか。異常時の連絡先と初動担当は誰か。

AWSも、外部サービスへの権限を必要最小限にし、不要になったロールを削除すること、定期的にアクセスを見直すことを勧めています。利用中の設定を一括で削除せず、用途を確認しながら整理してください。AWSの外部サービスとの安全な共有に関する指針

Quboleと連携していた場合は、10月1日以降の記録を調査

Wizは、連携用ロールがある各AWSアカウントで、2026年10月1日以降のCloudTrailを確認するよう勧めています。CloudTrailは、AWSで行われた操作の記録です。

技術担当者には、連携元のAWSアカウントID「805246085872」からの権限引き受け操作（AssumeRole）について、接続元や利用者をWizの調査指標と照合し、その後の操作まで調べるよう依頼します。このアカウントIDは正規のQubole連携でも使われるため、一致だけで不正アクセスとは断定できません。調査に使う指標と確認項目

また、「記録を見たが、データの読み出しは見つからなかった」という回答では、そもそも読み出しを記録する設定だったかも確認が必要です。S3のファイル読み出しなどはCloudTrailの「データイベント」に当たり、標準では記録されません。今後有効にする場合は、対象と追加料金も確認します。AWSのデータイベントの説明

侵入が確認されたら、権限を外して終わりにしない

不正な権限利用が見つかった場合、Wizは、当該ロールで読み取り可能だった認証情報の更新と、すでに発行された一時的なアクセス権の失効も勧めています。技術担当者には、調査記録を保全しながら、影響するデータと接続先の確認を依頼してください。

AWSのロールのセッション失効は、同じロールを使う正規の処理にも影響します。事業側は、停止する機能や利用者への案内を担当者と確認し、遮断と復旧を進めます。AWSの一時的なアクセス権の失効手順

本番環境に接続できる鍵や、契約終了時の権限管理については、開発環境・本番環境のデータと権限を解説した記事も参考にしてください。

今回の確認は、「今使うサービスは何か」に加えて、「以前許可したアクセスを誰が閉じたか」まで確かめることです。連携の一覧と管理担当をそろえ、不要な権限と、残す権限の範囲を見直しましょう。

2026年11月10日時点の公開情報に基づきます。確認した資料からは被害企業の総数や日本国内への影響は確認できません。個別環境の被害有無は、設定と利用記録の調査が必要です。