owaspkansaiday-lt1-260214

Transcript

1. AmazonSESを乗っ取られ てSPAMをばらまかれた話 池田武＠第56回日本SF大会 2026年2月14日 立命館大学IoTセキュリティ研究センター x OWASP Kansai 〜セキュリティの未来についていろいろ学ぼう〜 ライトニングトーク 1
2. 自己紹介 • 氏名 池田武 1969年生まれ • 現職 家電メーカー（IOT製品セキュリティ） • 前職 インターネットサービスプロバイダ • AWS歴 2008年〜 • 好きなサービス Route53 AmazonSES • 趣味でSF大会というイベントを運営してます • 今回の話 10年前にイベントのために作ったサイトを悪用されてSPAMを出されたときの顛末 • OWASP Kansai はまだ2度目なので、皆様お手柔らかにお願いします • 本内容は個人の見解であり、所属する組織を代表するものではありません 2
3. 詳しい経歴などはこちらで 3
4. AmazonSESとは • AWSの提供するEmail配信サービス • Amazonが顧客に配信するEmailのノウハウを利用しているため 到達率が高い（AWS営業談） • SPF、DKIM、DMARC等の迷惑メール対策が、AWSのDNS サービスであるRoute53と連携して簡単に可能 • 利用するにあたっての敷居は高め • 配送計画を提出して承認されるまでは厳しい通数制限が掛けられる • 通数制限が緩和された後も、配信を健全に行うためのシステム維持は 利用者の責任 • バウンスメール（配送失敗メール）の発生を防ぐ義務が利用者にある 4
5. ある日突然AWSから通知が…… お前のアカウントは調査対象 になった。 今はまだEmailを送れるが、 調査期間中に対応しないと Emailを止めるぞ。 5
6. 続きを読んでみると…… Your current bounce rate is 12.48%. We measured this rate over the last 10,163 eligible emails* you sent. Our analysis covers the last 278.7 days. We recommend that you maintain a bounce rate below 5%. If your bounce rate exceeds 10%, we might pause your ability to send additional email. • 一万通も送った覚えはない。 6
7. Amazonからの指示 まず、バウンスを監視しろ 次に、分析しろ ３つめに、対策を行え 最後に、以下の問いに答えよ ・原因は何だったか ・どのような対策をしたか ・対策によって再発しない根拠は何か 7
8. バウンス監視 監視さぼってました。orz ← Gmailがまとめてるけれど、 1行あたり100件のバウンス×100行 ≒約一万件が来てた 8
9. バウンスの中身を分析 ヘッダのTo:情報から、知ら ないアドレス宛 完全に乗っ取られてるやん SESへの接続元のIPから、さくらイン ターネットから利用されていると判 明。 ヘッダのFrom:情報から、2016年に 第56回日本SF大会イベントのために 作成したサイトの問い合わせフォー ムが返信に使用しているアドレス だった。 9
10. 緊急対策 • CloudTrailで状況確認をしようとしたら、標準設定ではEmail送 信は記録ていしないことが判明したので、次善策。 • IAMユーザ一覧から最終アクティビティを見て使用している IAMユーザを確認し、アクセスキーを無効化 10
11. AWSに報告 11
12. 原因究明と恒久対策 • その後、該当サイトを調査。 • ログを確認すると、問い合わせフォームの自動返信をしている PHPのモジュールに、勝手に送信先と本文を設定して呼び出さ れている • 使用しているCMSのセキュリティホールを悪用されたと推測 • CMSのセキュリティホールをふさぐため最新に更新 • 問い合わせページを廃止予定 • すでに使用終了して7年たっているので、コンテンツをアーカ イブして静的ページに再構築予定 12
13. 参考：当時のSESダッシュボード 13
14. Good & Bad & Knowledge • Good • SESを使っていたので一万通で済んだ。もし未対策のSendmailや Postfixを使っていたら、桁違いの大量送信をされていた。 • Bad • 終了したサイトを7年間も放置していた • 長期クレデンシャルを放置していた • CMSの脆弱性を放置していた • Knowledge • SPAMerの送信傾向、乗っ取り〜潜伏〜送信 • AWSのSPAM送信に対しての非常に厳しい方針 14