Tysiące kluczy Amazon AWS wyciekły do internetu. Nadal działają i mogą otworzyć firmowe chmury

Ponad 9,3 tys. ujawnionych kluczy dostępowych do Amazon Web Services nadal pozostaje aktywnych. Badacze Truffle Security znaleźli wśród nich dane dające dostęp administracyjny do firmowych środowisk. Niektóre klucze mają kilka, a nawet kilkanaście lat.

Wycieki danych uwierzytelniających zazwyczaj kojarzą się z koniecznością natychmiastowej zmiany haseł i blokowania dostępu. W przypadku części kluczy AWS problem jest znacznie poważniejszy. Dane dostępowe zostały wcześniej opublikowane w internecie, a mimo upływu miesięcy lub lat nadal można było z nich skorzystać.

Badacze Truffle Security przeanalizowali ogromną liczbę sekretów znalezionych między innymi w repozytoriach kodu, historii Git, obrazach Docker, logach CI oraz zbiorach danych. Wyniki pokazują, jak długo ujawnione dane dostępowe mogą pozostawać aktywne w środowiskach firmowych.

Tysiące aktywnych kluczy znalezionych w sieci

W ramach badania Truffle Security znalazło 431 875 sekretów AWS. Po usunięciu duplikatów pozostało 64 024 unikalnych kluczy powiązanych z ponad 50 tys. kont AWS.

Badacze mogli ponownie zweryfikować 10 616 unikalnych kluczy. Aż 88 proc. z nich nadal było aktywnych 10 sierpnia 2026 roku. Wśród przeanalizowanych danych znalazło się ponad 9300 kluczy ujawnionych w okresie od sierpnia 2022 do sierpnia 2026 roku, które wciąż zachowywały ważność.

To szczególnie niepokojące w przypadku kont firmowych. 817 aktywnych kluczy udało się powiązać z konkretnymi przedsiębiorstwami. Aż 526 z nich zapewniało dostęp na poziomie root, natomiast 42 były związane z użytkownikami posiadającymi uprawnienia administracyjne IAM.

Niektóre klucze dawały pełną kontrolę

Wśród przeanalizowanych danych badacze znaleźli 768 prawidłowych kluczy, które w dwóch zestawach zapewniały pełną kontrolę nad kontem przedsiębiorstwa w AWS.

W praktyce przejęcie takiego dostępu może dać napastnikowi możliwość ingerowania w infrastrukturę firmy, aplikacje i serwery działające w chmurze. Zagrożenie nie ogranicza się przy tym do kradzieży informacji.

Przejęte konto AWS może zostać wykorzystane także do uruchamiania kosztownych procesów obliczeniowych, w tym kopania kryptowalut. Rachunek za wykorzystane zasoby trafia wtedy do właściciela konta.

Badacze zwracają uwagę na jeszcze jeden problem. Spośród 2754 przeanalizowanych kont, dla których możliwe było odczytanie odpowiednich danych, zaledwie 262 miały skonfigurowane alerty dotyczące nadmiernego wykorzystania zasobów.

Najwięcej kluczy znaleziono na platformie związanej z AI

Jednym z największych źródeł ujawnionych danych okazał się Hugging Face, popularny serwis wykorzystywany przez programistów i firmy pracujące nad sztuczną inteligencją. Badacze znaleźli tam 8482 unikalne klucze AWS.

Szczególną uwagę zwraca fakt, że 17,9 proc. z nich było powiązanych z kontami root. Takie dane są szczególnie niebezpieczne, ponieważ uprawnienia root nie podlegają ograniczeniom stosowanym wobec zwykłych użytkowników IAM.

Problem nie dotyczy więc wyłącznie przypadkowego ujawnienia pojedynczego hasła. W części przypadków w publicznie dostępnych miejscach znalazły się dane pozwalające na dostęp do firmowej infrastruktury chmurowej na bardzo wysokim poziomie uprawnień.

Niektóre klucze miały prawie 18 lat

Jeszcze bardziej zaskakujący jest wiek znalezionych danych. Mediana wieku analizowanych kluczy wyniosła około pięciu lat. Najstarszy miał aż 17,4 roku.

Rotacja poświadczeń również nie była standardem. Wcześniejszą zmianę klucza dla tego samego użytkownika stwierdzono zaledwie w 13,7 proc. przypadków.

Dla administratorów chmury jest to poważne ostrzeżenie. Samo usunięcie klucza z publicznego repozytorium nie wystarcza, jeśli pozostaje on aktywny w środowisku AWS. Dane mogą zostać wcześniej skopiowane przez osoby trzecie i wykorzystane długo po zniknięciu pliku z pierwotnego miejsca.

Amazon twierdzi, że informował klientów

Amazon przekazał, że analizuje zgłoszenia dotyczące naruszonych kluczy i podejmuje działania mające ograniczyć ryzyko dla klientów. Firma podkreśla również, że użytkownicy, których dane zostały objęte wykrytym problemem, byli o tym informowani.

Odpowiedzialność za bezpieczeństwo nie spoczywa jednak wyłącznie na dostawcy chmury. Organizacje korzystające z AWS muszą kontrolować cykl życia własnych poświadczeń, reagować na wycieki i regularnie usuwać niepotrzebne uprawnienia.

„Dokładnie badamy wszystkie zgłoszenia dotyczące kluczowych naruszeń i niezwłocznie podejmujemy odpowiednie działania, takie jak kwarantanny, aby zminimalizować ryzyko dla klientów bez zakłócania ich środowisk informatycznych” – napisał rzecznik Amazon.

Badacze Truffle Security zalecają przede wszystkim unieważnianie ujawnionych kluczy, rotację danych uwierzytelniających oraz kontrolę uprawnień kont IAM. Każdy klucz, który trafił do publicznie dostępnego miejsca, należy traktować jako potencjalnie przejęty.

Największym problemem nie jest więc sam fakt wycieku. Jest nim czas, przez jaki skradzione dane mogą pozostać aktywne. W przypadku części znalezionych przez Truffle Security kluczy trwało to miesiącami lub latami.