@hyuki やっと読み直しました。
> S3 charges you for unauthorized incoming requests
と書いてありましたね。さらにリダイレクトにもお金がかかるともありました。
今回は「オープンソースのツール」のデフォルトの設定が原因によってクライアント側が分散したことによって時間あたりの金額が大きくなりましたが、記事にある通り、意図的に攻撃して金銭的な被害を及ぼすこともできそうです。
S3で、読むリクエストよりも書くリクエストの方が値段が高いのは、実際のコストを反映しているからだと思っていました。権限不足で実際には書かないリクエストのコストは読むリクエストと同じくらいだろうと思うので、値段も同じくらいに安くなると良さそうに思います。