AWSから120万円の高額請求が来た話

筆者は2018年の夏にAWSから高額請求を受けました。 とある開発合宿の夜、LaravelでS3に画像をあげ、CroudFront経由で表示させるための実装を行っていた時の出来事です。 AWSのコンソール画面とにらめっこしていた時に、ふと左サイドバーの履歴の項目に、気になる項目が目に付きました。 ん？ 請求？ 普段はこんな項目出て来ないため、気になったのでクリックしてみました。その瞬間、恐ろしい現実を目の当たりにしたのです。 請求を押した時に開かれた画面が、以下の通りでした。 【請求画面の画像】 及び10000$！日本円にして、約124万円の請求が来ていました。 何かの間違えだと思ったが、少し怖くなったのでひとまず、こういった事例がなぜ起こるのか、自分に当てはまる原因がないかを調べるため、「AWS 高額請求」などでググってみました。 すると、いくつか記事が早速上位にヒットしました。 htt

[aroechan]

”無事免除！！！！”じゃねえよバカ。ケチってねえでgithubにprivateリポジトリ作成しろよ/Amazonが一番かわいそうだよ。

[ikurii]

これ誤請求ではなく、正当な請求だから。

[degucho]

本来請求されても文句言えないのに返金が当然と思ってるのに違和感。使われた分はAmazon側の持ち出しだぞ

[otihateten3510]

俺は200万円だったぞ（クソマウント。原因不明）

[kwhrtsk]

AWSのアクセスキー混入を防ぐgitフックをAWS公式(awslabs)が提供している。 https://github.com/awslabs/git-secrets/

[morygonzalez]

「徐々に丁寧語」ってことは最初はタメ口で問い合わせてたってこと？ 「なんか高額請求来てるんだけどこれ免除されるよね？よろ〜」みたいな？

[hirokinko]

またか、馬鹿か。 / 公開リポジトリ上にキーペア上げてるとAWSからアラートが上がる https://qiita.com/saitotak/items/813ac6c2057ac64d5fef

[takun71]

awsがgithubをクロールしてるから、キーを上げてしまったらメールが来るはずだけど無視してたのかな

[koji28]

この話に潜んでいる問題は何でしょうか？の題材にできそう(´・ω・`)

[showyou]

コメントを読むべし

[samu_i]

そろそろ、払った話が聞きたい

[shunt_i]

翻訳ドキュメント「.env.exampleファイルをまだ.envにリネームしていなければ、今すぐ行ってください。」.envは.gitignoreに入っているので、この通りやるかComposer使って入れば。。

[inabajunmr]

内容がよろしくないのとかはわかるんだけどはてブのコメント見てるとそりゃやらかした時にエスカレーションできないマンだらけになるよなって気持ちになる

[Soraneko]

はい定期 / はてブのコメントを見て内容をどんどん書き換えている様子

[diveintounlimit]

こういうのが定期的に湧いてくるからAmazon側も自衛手段としてgithubのキーのクロールとかやってたりするんだよなぁ(´・ω・｀)

[pismo]

こういう基本中の基本をしっかり出来ない人が定期的に現れるよねえ。AWSも免除なんて止めちゃえば良いのに。ガッツリ痛い目に遭った方が本人のためになるのでは？

[masayoshinym]

定期的に出てくるやつ。

[tenkoma]

平成最後の夏の怪談

[rryu]

管理画面でルートのAPIキーは作るなと警告されているのに作り、.envはgitignoreに入っているのに.env.exampleの方に本物の値を入れてコミットするという各方面の配慮を全部台無しにしていくスタイル…

[kamonamban]

AWSって優しいなぁ

[Kil]

「サービス利用者が1つ以上のアカウントを作成して本無料提供の追加特典を得ようとする場合」（いわゆる複アカ）については禁止行為と規約にしっかり書かれている。　https://aws.amazon.com/jp/free/terms/

[diffie]

クラウド破産まとめ http://x68000.q-e-d.net/~68user/cloud/money-fail.html

[JULY]

未だに、キー公開してしまう人が居るなんて... と思うんだけど、これが現実なんだろうなぁ。

[maruhoi1]

「公開されてるキーを悪用する人（bot）が居るのが問題で、キーを間違えて公開する可能性もあるし、バッシングしなくても」と思って開いたらひどかった

[circled]

そろそろgithubでAWSのキーを含んだコードは（プライベートレポ以外で）自動で弾く仕組みが生まれても良いはず。

[Usus_magister_est_optimus_t]

120万の損害を与えた事故を自ら公開とか。恥ずかしくないのかな。大人物やな。

[zu-ra]

「120万円を免除されたのですから感謝してもしきれない」って書いてあるのに、「免除されて当然と思ってるクソ」みたいなブコメが人気でかわいそう。書いてない筆者の気持ちを勝手に断定するバカは大嫌い。

[underdog_slumber]

めちゃ怒られてる

[proverb]

初歩的なミスだけどうっかりやらかしうるので笑えない。しかしドヤ顏で話すことでもないよね…Amazonに迷惑かけてるし、会社のアカウントだと重大なセキュリティインシデントになり得る。その辺の意識が無いのが怖い

[sinsinchang]

確かにミスった感はあるけれど、はてぶのコメントがひどいなぁと思う。とりあえず、免除されたなら許容範囲内ってことですよ。

[yancy1969]

こういうことしてる時点でエンジニアとしてセンスないよ

[nezuku]

反応として見下してしまったりあるいは炎上っぽいブクマ※傾向にあるものの、自らが運用するときに起こす可能性は0とは言えないほどに、ケーススタディが多い以上は…

[impreza98]

同じ事やらかす人が後を絶たないから、AWSのセミナーとかではまず「ルートのキーを作るな、必ずMFA付けろ」と念を押されているワケでして……

[PerolineLuv]

いろいろあるけどワイ、ConoHaでニッコリや。サポートは最悪やけど。

[m4fg]

間違ってアップして不正使用だから請求はチャラね、ってなかなかひどい考えだよね。いつそちら側になるかわからんけども

[khtno73]

「突っ込みどころ全部指摘できるかゲーム」のような文章だな

[arisane]

AWSのキーを公開して高額請求来た話とか何度目だよ今更こんなにブクマつくのか？と思ったら、ブコメでは高額請求時のハウツーとしてではなく、エンジニアとして一緒に仕事したくない奴として炎上してた

[kastro-iyan]

全然なくならないね、この手の話