Firewall ManagerでWAFポリシーを適用する際、「修復アクションの自動化」をオフにした場合、どのような挙動になりますか。

侵害されたIAMユーザーのアクセスキーを無効化（Inactive）にしましたが、攻撃者がまだアクセスできているようです。見落としている可能性があるのはどれですか。