Mais de 9.300 chaves de acesso da Amazon Web Services (AWS) expostas publicamente entre agosto de 2022 e agosto de 2026 ainda estão ativas e válidas.
A Truffle Security acompanha essa exposição há quatro anos e afirma que 817 das chaves vazadas estavam ligadas a empresas, sendo 526 delas chaves raiz da AWS.
Segundo os pesquisadores, 242 dessas chaves pertencem a usuários do Identity and Access Management (IAM) com a política AdministratorAccess. Esse perfil tem permissão total para criar, alterar, excluir e visualizar praticamente todos os serviços e recursos da AWS dentro de uma conta.
Eles observam que cada uma das 768 chaves ativas nos dois conjuntos dava “controle total da conta AWS de uma empresa”.
A empresa encontrou 431.875 segredos da AWS em repositórios de código, histórico do Git, conjuntos de dados, imagens do Docker, registradores e logs de CI, e extraiu 64.024 chaves únicas da AWS, correspondentes a 50.654 contas AWS após a remoção de duplicatas.
No entanto, o subconjunto para o qual os pesquisadores tinham credenciais completas, que permitiam nova verificação, era de 10.616 chaves, e 88% delas continuavam se autenticando em 10 de agosto.
A Amazon Web Services (AWS) é a plataforma de computação em cloud da Amazon, usada por empresas para hospedar sites e aplicações, armazenar dados, executar bancos de dados e servidores, gerenciar domínios e operar sua infraestrutura online.
Ter controle total de uma conta AWS pode permitir que um atacante acesse, exfiltre ou apague dados hospedados na cloud, assuma o controle de servidores e aplicações e crie contas administrativas falsas para manter acesso persistente.
Threat actors também poderiam usar esse acesso para implantar cryptominers, gerando cobranças altas para a empresa. A Truffle Security informa que apenas 262 de 2.754 contas legíveis tinham um alerta de orçamento configurado.
A Hugging Face, uma plataforma online popular onde desenvolvedores compartilham modelos de IA, conjuntos de dados e aplicações, foi a maior fonte isolada de chaves AWS vazadas, respondendo por 8.482 exposições únicas de chaves.
Além disso, 17,9% dessas chaves eram raiz, ou seja, pertenciam à identidade com o mais alto nível de privilégio, sem restrições das permissões do IAM.
A Truffle Security descobriu que, entre as 2.903 chaves com data de criação disponível, a idade mediana era de 1.831 dias, cerca de cinco anos, enquanto a mais antiga existia havia 17,4 anos.
Apenas 398 entradas, ou 13,7%, tinham uma chave de acesso mais recente associada ao mesmo usuário, o que indica que a maioria nunca havia sido rotacionada.
Para se defender de possíveis abusos, os pesquisadores recomendam excluir todas as chaves raiz de acesso, revisar credenciais do IAM por idade, rotacionar ou revogar chaves expostas e configurar alertas de orçamento.
Eles também alertam que qualquer credencial comprometida em uma fonte pública deve ser tratada como comprometida.
A Truffle Security afirmou que seus testes se limitaram a metadados somente leitura e que notificou todos os proprietários identificáveis das credenciais expostas.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...