AWSが不正利用され300万円の請求が届いてから免除までの一部始終 - Qiita

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? 前置き 情けないことだが、自身の過失により、GitHubで長年Privateリポジトリで運用していたリポジトリを、とある事情でpublicに変更したのだが、その中にAWSのS3のアクセスキーとシークレットキーがファイルに直接ハードコーディングされているのにすっかり気づかず、自身のAWSのアクセスキーとシークレットキーが流出してしまうという失態を起こしてしまった。 その不正利用により届いた請求金額は約300万円。請求を見た時は頭が真っ白になり冷や汗ものだったが、過去に同様のミスとその状況と対応をまとめてくださっていた方々のおかげで、なんと

[jnoir]

こーゆーのがあるからAWSは怖い。PayPalとかでの先払いに対応してくれないと個人で使う気にはならないね...

[fashi]

「Great News!!」で笑った。Amazon寛大だな

[hasiduki]

S3のアクセスキーでなんでEC2を回せるのか

[ya--mada]

これも消されるのかな？

[kaputte]

多要素認証必須やな。それとgit secretか

[jkr2348fsfsd]

課金の限度額とかって設定できないのかな？青天井の従量課金は結構怖い。

[src256]

怖いはなし

[ANNotunzdY]

メモ: git secret

[cuttoff19]

個人アカウントが不正利用されても一回までは免除してくれるらしい

[lazex]

個人では絶対使いたくないサービス。何事も定額制が一番だなぁ

[deep_one]

免除の申請まで向こうでやってくれるのか。一回だけなのは「被害者の振り」をしていることを想定に入れてのことだろうな。

[Soraneko]

ほんとAmazonさんはやさしいなあ

[otituke]

Adminアクセス振ったAPIKeyをネットに置くという露出プレイでしょ？こんど使わせてね。

[masayoshinym]

従量課金怖いから自分はVPSでいいや。。

[eagleyama]

“過去に同様のミスとその状況と対応をまとめてくださっていた方々のおかげで、なんとか深呼吸して対応することができたので、自分も少しでも今後起きうる同様”

[yogasa]

キーがハードコードされてるのもそうだけど，AWSもめんどくさいから適当な権限振ってたように読める

[wiz7]

“AWSのMulti-Factor Authentication（MFA）の二段階認証を利用する”／“「Great News!! 免除申請が許可されました(英語)」という内容のメールが届く”wwww

[ina-amagami]

従量課金はこういうところ怖いな。気をつけなきゃ

[hugie]

定期的にgithubにキー公開してAWS課金されて、それを免除してもらったって記事出てくるね。「AWS 不正利用 免除」でググると色々出てくる。

[takashi0314]

情弱なコメントに☆ついててわらかすなぁ

[nilab]

「非常に丁寧にどの部分が免除されたのかなどの情報が記載されており、1$にも満たないデータ転送料のような箇所まで丁寧に金額免除していただけました。そして、最後に「免除は今回限りになります」との注意書き」

[leiqunni]

どのように不正利用されたか知りたい。

[y_r]

S3 -> アカウントかな / AWS にとっては "ああまたか" だろうね。 / 対応策の多重防御よいね

[jun_ya]

仕事関係はクローズドなGitLabに入れてるけど怖い。それとgit secret覚えた。

[akulog]

こういうリスクをなかなか理解してもらえなくて辛い。

[pmint]

請求書から想像して、10人程度が月初めから一斉に使い始めたのかな。分かりやすい変数名が災いしたのでは。/ これ、鍵は作り直したんだよね？ / この手の流出を検索で見つけるサービスでも作れば流行りそう。

[ktakeda47]

こわ

[Fushihara]

awsはなんだかんだで免除してくれるなあ

[oakbow]

githubってprivateリポジトリをpublicに変えるのって出来なくなかったっけ？リポジトリをコピーして別に作り直す必要あるよね。単に省略して言ってるだけなのかな。