トップ ＞ テクノロジー

1000万サイト調査、有効なAPIキー1748件が誰でも見られる状態に

内容

何が分かったのか

米スタンフォード大学などに所属する研究者らが、「Keys on Doormats」と題した論文を発表しました。Web上の1000万サイトを対象に、APIキーが外部から見える状態になっていないかを調べたものです。APIキーとは、外部のサービスを利用する際に配布元が発行する、いわば秘密のパスワードにあたる許可証です。見出しにある「生きたAPIキー」は、いまも有効で実際に使える状態のキーを指しています。

研究チームは、ブラウザが実際に読み込んだ通信データを調べる「動的解析」という手法を使いました。その結果、クラウドや決済、開発基盤、AIなど主要14サービスの有効なキー1748件が、5693のドメインで誰でも閲覧できる状態にあったことが分かりました。中には、世界的な銀行（G-SIB）や国のエネルギー事業者、学校、警察、裁判所のシステムに関わるものも含まれていたとされます。

なぜ見えてしまうのか

見つかった露出のうち84％はJavaScriptファイルの中にありました。さらにその6割以上は、本番用のファイルを組み立てる工程（ビルド）で自動生成されるファイルの中にだけ存在していました。開発ツールで環境変数の設定を誤ると、本来は裏側に隠しておくべきキーまでが、ビルドの際に公開用のファイルへ自動で書き込まれてしまいます。このため、多くの組織が頼っているソースコードの検査だけでは、大半を見つけられないと指摘されています。

どんな被害につながり得るのか

キーが1つ漏れただけでも、データの窃取やプライバシーの侵害、組織の評判の低下につながる恐れがあるとされます。過去には2016年、米国の配車サービスで、公開コードに埋め込まれたクラウドのアクセスキーを攻撃者が見つけ、5700万人分の個人データが流出した例があります。今回見つかった銀行やインフラのキーについて、実際に悪用されたかどうかや具体的な被害は、現時点で明らかになっていません。

その後の対応

過去のデータからは、漏れたキーが平均で1年ほど放置されていたことも分かりました。研究チームが該当する組織に警告メールを送ったところ、2週間でおよそ半数のキーがサイトから削除されました。ただし、キーそのものを使えなくする「無効化」まで行ったのは26％にとどまりました。研究結果からは、ソースコードだけでなくビルド後の公開ファイルまで確認すること、見つかったキーは削除にとどめず無効化することが重要だと読み取れます。

注目ポイント

削除はしても無効化まではしていない組織が多く、表面上は対処済みに見えてもキーが使えるまま残っている点が焦点になっています。同じ時期には、AIコーディングツールの認証情報を狙う情報窃取マルウェア「Aoki」の新しい版や、Web制作ツールでの外部APIキーを含む情報漏えいの疑いも報じられており、APIキーの扱いが改めて問われています。盗まれたキーで第三者にサービスを使われ、利用料金を負担させられる恐れも指摘されており、企業だけでなく個人の開発者にも身近な問題になっています。

参考記事

• 1000万のWebサイトで「生きたAPIキー」が大量に“丸見え”状態? 大手銀行やインフラの鍵も 米スタンフォード大などが調査ITmedia　2026年10月23日 12:00
• サイトでAPIキー丸見え状態 研究Yahoo!ニュース　2026年10月24日 11:30
• AIコーディングのAPIキーが狙われている OpenCodeのキー流出とインフォスティーラー「Aoki」から学ぶ対策ITmedia　2026年10月24日 11:30

ランキング登場履歴

この記事の内容に誤りを見つけた方は 情報の誤りを報告 からお知らせください。