Atac cibernetic prin conturi AWS compromise: ce trebuie să știi

Mulți antreprenori cred că odată ce și-au mutat datele în cloud, responsabilitatea securității se oprește la furnizorul gigant. Din experiența noastră de teren la Activ.NET, unde gestionăm infrastructuri pentru diverse firme din Arad și din țară, știm că cel mai vulnerabil punct nu este platforma în sine, ci modul în care diferitele aplicații sau furnizori terți rămân conectați la rețea. Un incident desfășurat între 14 și 26 octombrie ne reamintește că o singură configurare uitată poate compromite întregul mediu de afaceri.

#Ce s-a întâmplat

Potrivit cercetătorilor în securitate de la Wiz și Sentra, un atacator a compromis datele de autentificare IAM (Identity and Access Management) asociate platformei de date Qubole pentru Amazon Web Services (AWS). Atacatorul a folosit aceste date de acces pentru a prelua roluri configurate anterior să aibă încredere în contul Qubole, vizând zeci de companii.

Atacul s-a desfășurat între 14 și 26 octombrie. Folosind API-ul STS AssumeRole, atacatorul a obținut acces temporar la mediile AWS ale clienților, a cartografiat resursele, a extras date confidențiale din AWS Secrets Manager și a folosit instrumentul TruffleHog pentru a valida cheile găsite. Apoi, acesta a descărcat volume mari de date din bucket-urile S3 accesibile, sustrăgând milioane de fișiere de la un singur client și colectând secrete într-un ritm de aproximativ 100 de parole și chei la fiecare șapte minute. Qubole nu a făcut încă un anunț public oficial privind incidentul.

#Impact pentru firme

Pentru o companie mică sau mijlocie, un astfel de incident poate fi devastator, indiferent dacă folosește AWS direct sau alte platforme SaaS conectate. Riscul major constă în pierderea confidențialității datelor clienților, furtul de proprietate intelectuală sau expunerea de chei API și parole care deschid ușa către alte sisteme (Microsoft Entra ID, Okta etc.).

În România, multe firme apelează la furnizori externi pentru dezvoltare sau analize de date și le oferă acces larg în infrastructura cloud. Dacă aceste parteneriate se încheie, dar rolurile de acces nu sunt revocate, ele devin porți deschise pentru hackeri. Timpul pierdut cu investigarea unei breșe, notificarea autorităților și pierderea încrederii partenerilor de afaceri se traduce direct în costuri financiare uriașe.

#Recomandări concrete

Pentru a evita scenarii similare, recomandăm echipelor IT să ia măsuri imediate. La Activ.NET, le sugerăm mereu clienților noștri să trateze securitatea accesului cu maximă strictețe prin următorii pași rezultați din practică:

1. Verificați jurnalele AWS CloudTrail începând cu 1 octombrie pentru a identifica accesul suspect din contul AWS al Qubole sau din surse necunoscute.
2. Curățați integrările neutilizate: ștergeți imediat rolurile IAM și politicile de încredere pentru furnizori terți cu care nu mai colaborați.
3. Schimbați urgent toate credențialele expuse și revocați sesiunile active de rol.
4. Restrângeți permisiunile la strictul necesar (principiul privilegiului minim) și limitați rețelele sursă permise pentru fiecare rol în parte.

Dacă aveți nevoie de asistență tehnică sau de o evaluare a securității infrastructurii voastre, echipa Activ.NET vă poate ajuta cu soluții de administrare servere și audit cibernetic.

#Concluziile noastre

Securitatea în cloud nu este un eveniment singular, ci un proces continuu de igienă digitală. Faptul că un furnizor terț a fost compromis arată că lanțul de aprovizionare software este la fel de vulnerabil ca cel fizic. La Activ.NET, încurajăm companiile să facă audituri periodice ale drepturilor de acces și să nu lase integrări vechi active „pe termen nelimitat”. O verificare de 10 minute poate preveni un dezastru operațional.

Inspirat din: BleepingComputer