Hackerii au furat date de la zeci de companii prin conturi AWS compromise

O campanie informatică desfășurată în octombrie 2026 a permis unor hackeri să acceseze mediile cloud ale mai multor companii și să descarce date din conturile acestora. Atacul a exploatat credențiale compromise ale platformei Qubole, un furnizor de servicii pentru procesarea și analiza datelor în cloud, care avea acces autorizat la resursele AWS ale clienților săi.

Potrivit cercetătorilor de la compania de securitate cibernetică Wiz, atacatorii au folosit două conturi IAM compromise asociate Qubole pentru a obține acces în conturile AWS ale unor organizații care configuraseră anterior relații de încredere cu furnizorul. Campania s-a desfășurat între 14 și 26 octombrie și a afectat zeci de companii. Informațiile publicate de Sentra, o companie specializată în securitatea și guvernanța datelor, indică zeci de victime și milioane de fișiere sustrase doar din mediul unui singur client.

Cum au ajuns hackerii din conturile Qubole în mediile AWS ale clienților

Qubole este o platformă destinată companiilor care gestionează volume mari de date și rulează sarcini de analiză sau de machine learning. Serviciul se integrează cu infrastructura Amazon Web Services (AWS), astfel încât organizațiile îi pot permite să folosească anumite resurse din propriile conturi cloud.

Accesul furnizorilor externi este configurat prin roluri IAM (Identity and Access Management), care stabilesc ce conturi AWS pot solicita acces și ce operațiuni au voie să efectueze. Politicile de încredere definesc identitățile externe acceptate, iar permisiunile rolurilor limitează resursele care pot fi accesate.

Pentru a obține acces temporar, furnizorii folosesc API-ul STS AssumeRole al AWS. În cazul investigat de Wiz, atacatorii au preluat controlul asupra a două conturi IAM ale Qubole și au folosit mecanismul pentru a-și asuma roluri configurate în conturile clienților.

Unele dintre aceste roluri nu mai erau folosite activ, dar continuau să aibă politici care permiteau accesul contului asociat Qubole. Astfel, atacatorii au putut intra în mai multe medii cloud fără să compromită direct conturile fiecărei companii afectate. Accesul obținut era limitat de permisiunile acordate rolurilor respective, însă acestea au fost suficiente pentru operațiunile desfășurate în timpul campaniei.

Ce date au căutat și cum au fost descărcate fișierele

După ce au obținut acces în conturile AWS, atacatorii au început să inventarieze resursele disponibile. Cercetătorii Wiz au identificat accesări ale serviciului AWS Secrets Manager, ale SSM Parameter Store și ale variabilelor de mediu folosite de funcțiile Lambda. Aceste resurse pot conține informații sensibile, inclusiv parole, chei de acces și alte secrete necesare funcționării aplicațiilor.

Hackerii au folosit apoi instrumentul TruffleHog pentru a verifica datele de autentificare descoperite. Printre informațiile validate s-au numărat chei AWS, secrete pentru aplicații Microsoft Entra ID și credențiale Okta. Acestea pot permite accesul la alte servicii și conturi, în funcție de permisiunile asociate.

Odată ce au identificat resursele accesibile, atacatorii au trecut la colectarea datelor din spațiile de stocare Amazon S3. Potrivit explicațiilor publicate de Wiz, secvența de operațiuni a fost similară în mediile compromise: asumarea unui rol, listarea bucket-urilor disponibile, inventarierea obiectelor stocate și descărcarea fișierelor.

Abordarea a fost una oportunistă. În loc să selecteze cu atenție anumite informații, atacatorii au descărcat datele din bucket-urile S3 la care rolurile obținute le ofereau acces. Această metodă a permis colectarea unor volume mari de informații din mai multe medii cloud.

Sentra a confirmat existența a zeci de victime și a raportat că, într-un singur caz, au fost furate milioane de fișiere. Compania a mai observat că atacatorii au extras informații de autentificare într-un ritm ridicat: aproximativ 100 de parole și chei în numai șapte minute.

Ce recomandă experții companiilor care folosesc AWS

Investigația a fost începută după ce Sentra a transmis informații despre activități suspecte observate în mediile unor clienți. La analiză au participat și specialiștii Mandiant. Raportul public nu precizează cum au fost compromise inițial conturile Qubole și nici numărul exact al organizațiilor afectate.

Până la publicarea informațiilor, Qubole nu anunțase public incidentul. BleepingComputer a transmis o solicitare companiei pentru detalii suplimentare, dar nu a publicat un răspuns din partea acesteia.

Administratorii care ar putea fi afectați sunt sfătuiți să verifice înregistrările CloudTrail începând cu 1 octombrie, pentru a identifica accesări suspecte provenite din contul AWS asociat Qubole. Investigația ar trebui să urmărească și accesările ulterioare ale secretelor și ale spațiilor de stocare S3.

Printre măsurile recomandate se numără schimbarea credențialelor care ar fi putut fi expuse, revocarea sesiunilor active ale rolurilor compromise și eliminarea integrărilor care nu mai sunt necesare. Pentru conexiunile externe păstrate, companiile ar trebui să limiteze permisiunile la strictul necesar, să verifice identitățile de încredere și să introducă restricții suplimentare, inclusiv condiții privind adresele IP de la care poate fi solicitat accesul.

Hackerii au furat date de la zeci de companii prin conturi AWS compromise