Atac cibernetic major prin AWS: cum au fost furate secrete din cloud

Securitatea în cloud nu înseamnă doar să ai parole puternice sau autentificare în doi pași, ci și să ai un control riguros asupra legăturilor vechi pe care le lași active între diverse platforme. La clienții noștri din Arad vedem des tendința de a testa o aplicație SaaS, de a configura un acces între sisteme și apoi de a uita complet de acele permisiuni. Când o terță parte este compromisă, întreaga ta infrastructură devine vulnerabilă, iar riscul financiar și operațional pentru o firmă mică sau mijlocie poate fi uriaș.

#Ce s-a întâmplat

Potrivit unei investigații publicate de Wiz pe 9 noiembrie 2026, atacatori necunoscuți au folosit credențiale compromise asociate contului AWS al platformei de date Qubole (contul cu ID-ul 805246085872) pentru a accesa mediile cloud ale clienților. Campania s-a desfășurat începând cu 14 octombrie 2026. Atacatorii au folosit apeluri API sts:AssumeRole pentru a obține credențiale temporare prin intermediul unor roluri de integrare cross-account lăsate active de către companii, chiar și după ce nu mai foloseau platforma Qubole. Odată infiltrați, intrușii au explorat servicii AWS precum Lambda, Secrets Manager și SSM Parameter Store, au folosit instrumente precum TruffleHog pentru a căuta credențiale Microsoft Entra ID și tokenuri OAuth Okta, și au descărcat date din bucket-urile S3.

#Impact pentru firme

Pentru o companie care își ține datele contabile, aplicațiile sau baza de date în cloud, un astfel de atac reprezintă un coșmar operațional. Chiar dacă ești o firmă mijlocie din Arad și nu o corporație globală, atacatorii acționează adesea oportunist. Furtul de chei API, parole și variabile de mediu din servere poate duce la compromiterea totală a datelor clienților, la oprirea activității sau la cereri de răscumpărare. Timpul pierdut cu investigarea incidentului și notificarea autorităților costă bani reali, pe care nicio afacere nu își permite să îi piardă.

#Recomandări concrete

Pentru a preveni astfel de incidente în propria infrastructură, recomandăm următoarele acțiuni imediate:

1. Revizuiți logurile CloudTrail: Căutați evenimente AssumeRole începând cu 1 octombrie unde userIdentity.accountId corespunde ID-ului Qubole (805246085872). Analizați dacă acestea provin de la adrese IP care nu aparțin AWS.
2. Curățați integrările vechi: Dezactivați imediat orice rol de integrare cross-account rămas activ pentru servicii terțe pe care nu le mai folosiți.
3. Rotiți secretele și revocați sesiunile: Dacă identificați sesiuni suspecte, rotiți toate parolele, cheile API, parametrii SSM și variabilele de mediu accesibile prin acele roluri, și revocați sesiunile active.

Pentru implementarea unor politici stricte de administrare a serverelor și audit de securitate, echipa Activ.NET vă stă la dispoziție.

#Concluziile noastre

Incidentul legat de Qubole ne reamintește că lanțul de aprovizionare digital este la fel de sigur ca cea mai slabă verigă a sa. La Activ.NET recomandăm o revizie periodică a drepturilor de acces în cloud și audituri constante ale permisiunilor IAM. Nu lăsați ușile digitale deschise în spatele unor platforme pe care nu le mai folosiți.

Inspirat din: The Register