ログインにユーザー名とパスワードを使用する他のサービスと同様に、AWS ユーザーは攻撃者によるソーシャル エンジニアリング攻撃に対して脆弱です。偽のメール、電話、またはその他のソーシャル エンジニアリング手法によって、AWS ユーザーの認証情報が攻撃者の手に渡ってしまう可能性があります。
ユーザーがAWSへのアクセスにAPIキーのみを使用している場合でも、一般的なフィッシングの手法によって他のアカウントやユーザーのPC自体へのアクセス権を取得することが可能であり、攻撃者はそこから前述のAWSユーザーのAPIキーを盗み出す可能性があります。
基本的なオープンソースインテリジェンス（OSINT）を使えば、AWSを定期的に利用している組織の従業員リストを簡単に収集できます。このリストは、スピアフィッシングの標的となり、認証情報を盗み出すために利用されます。簡単な手口としては、「過去24時間以内に請求額が500%増加しました。詳細はこちらをクリックしてください」というメールが挙げられます。リンクをクリックすると、認証情報を盗むために設計された悪意のあるAWSログインページのコピーに誘導されます。
以下のスクリーンショットに、そのようなメールの例を示します。これは、無料利用枠の上限を超過した場合にAWSから送信されるメールとほぼ同じですが、いくつかの小さな違いがあります。スクリーンショット内のハイライトされた領域をクリックすると、公式のAWSウェブサイトには移動せず、代わりに認証情報を盗むために設定された偽のログインページにリダイレクトされます。
これらのメールは、送信前に少しだけ追加のOSINTを実行することで、さらに具体的なものになります。攻撃者がオンライン上のどこかでAWSアカウントIDを見つけることができれば、Rhinoが以前に無料で提供した方法を使用して、ログを残さずにアカウントに存在するユーザーとロールを列挙することができます。攻撃者はこのリストを使用してターゲットリストをさらに絞り込み、さらに、あなたがよく使用するサービスを参照するメールを送ることができます。
参考までに、ロール列挙にAWSアカウントIDを使用する方法に関するジャーナル記事はこちら、ユーザー列挙にAWSアカウントIDを使用する方法に関するジャーナル記事はこちらをご覧ください。
Rhinoでの業務において、フィッシングはAWS環境へのアクセス権を取得する最も迅速な方法の一つであることが分かりました。

包括的かつ詳細な説明：
画像に示されているコードは、クロスサイトスクリプティング（XSS）攻撃を示しています。これは、ユーザー入力を介して悪意のあるJavaScriptがWebページに挿入される攻撃です。この場合、攻撃者は以下のコードを使用しています。
%3Cscript%20src=...%3E - 外部ソースから悪意のあるスクリプトを読み込むための URL エンコードされた JavaScript タグ。
ウェブアプリケーションがこの入力をサニタイズせずにそのまま返すと、スクリプトは被害者のブラウザのコンテキストで実行されます。
これにより、攻撃者は以下のことが可能になります。
クッキー/セッショントークンを盗む
被害者に代わって行動する
被害者を悪意のあるウェブサイトにリダイレクトする
CEH v13コースウェアより：
モジュール10：Webアプリケーションのハッキング # クロスサイトスクリプティング（XSS）
参考資料：CEH v13 学習ガイド - モジュール 10：XSS の種類（保存型、反射型、DOM）OWASP Top 10 - A7：クロスサイトスクリプティング（XSS）

サイバーキルチェーンにおいて、配信とは攻撃者が武器化されたペイロードを標的に送信する段階です。シナリオでは、レッドチームが「偽装された添付ファイル付きのフィッシングメールを送信する」と具体的に述べています。
「ペイロードを環境に送り込み、後続の攻撃ステップを実行できるようにする」。これこそが配信の目的であり、電子メールの添付ファイル、リンク、ドライブバイダウンロード、USBドロップ、その他の転送メカニズムなど、選択された経路を通じて悪意のあるコンテンツを被害者に届けることである。
これは、より早い段階で行われる武器化とは異なります。武器化とは、攻撃者がペイロードを準備する段階、つまりエクスプロイトとマルウェア/RATを組み合わせたり、悪意のあるドキュメント/添付ファイルを作成したりする段階です。武器化が完了すると、攻撃者はそれを配信する必要があります。フィッシングメール自体が配信手段であり、添付ファイルが配信されるオブジェクトです。次の段階は通常、エクスプロイト（ユーザーが添付ファイルを開いたときにエクスプロイトをトリガーする）、インストール（マルウェアの確立/永続化）、コマンド＆コントロール、および目標に対するアクションが含まれます。
他の選択肢が一致しない理由：
偵察（A）とは、何かを送る前に、標的（人、インフラ、技術）に関する情報を収集することです。
武器化（D）とは、悪意のある添付ファイルやエクスプロイトを作成／準備することであり、送信することではない。
エクスプロイト（B）とは、配信されたコンテンツが脆弱性を正常にトリガーするか、コード（例：）を実行する瞬間です。
例えば、被害者が添付ファイルを開いてエクスプロイトが実行された場合など）。
記述されたアクションはフィッシングメールによるペイロードの実際の送信であるため、キルチェーンのフェーズは C. 配信です。

攻撃者は、機密情報であるAPIキーを公開し、不正アクセスしてクラウド上でコマンドを実行しました。これは、機密情報が悪用され、クラウドのリソースが操作されるという、機密情報の漏洩の一例です。

テスターは、公開されている従業員のプロフィールやソーシャルネットワーキングプラットフォーム上の議論から情報を収集し、組織構造、技術、内部慣行を推測する。これは、ソーシャルネットワーキングサイトを通じたフットプリンティングの特徴である。