認証が要るはずの箱が、
設定ひとつで
誰でも読める。

S3 バケットとは

S3 バケットは、Amazon（AWS）のクラウドストレージサービス「S3」でファイルを置いておく入れ物です。Google Drive のフォルダのようなもので、企業が画像・動画・バックアップ・ログ・設定ファイルなどを置く場所としてよく使います。

各バケットには名前が付いていて、その名前がそのまま URL になります。

https://バケット名.s3.amazonaws.com/

「公開設定になっている」とは

バケットのアクセス権限が「誰でも読める」状態になっていること。本来は認証が必要なはずなのに、設定ミスで URL を知っている人なら誰でも中身を一覧・ダウンロードできてしまいます。

なぜ問題か

• バケット名は推測しやすい（companyname-backup、example-dev-assets など命名規則が単純なことが多い）
• 中に顧客データ、API キー、社内資料、DB のバックアップが入っていることがある
• URL さえ当たれば認証も突破も不要で、ただアクセスするだけで読めてしまう

Gobuster の s3 モード

単語リストからバケット名を組み立てて片っ端からアクセスし、「そのバケットは存在するか」「中身が見えるか」を確認します。DNS サブドメイン探索と発想は同じで、探す対象がバケット名になっただけです。