Secondo Truffle Security, oltre 9.300 chiavi di accesso Amazon Web Services pubblicate tra il 2022 e il 2026 risultano ancora attive, offrendo pieno controllo sugli account aziendali e mettendo a rischio dati, infrastrutture e costi.
Un'indagine di Truffle Security ha rivelato che più di 9.300 chiavi di accesso Amazon Web Services (AWS), pubblicamente esposte tra agosto 2022 e agosto 2026, sono tuttora valide e operative. Di queste, 817 sono collegate a organizzazioni, con ben 526 root key, ovvero credenziali con i massimi privilegi. Inoltre, 242 chiavi appartengono a utenti IAM con policy AdministratorAccess, consentendo la gestione completa di tutti i servizi e le risorse AWS dell'account.
Impatto e rischi per le aziende
Secondo i ricercatori, 768 delle chiavi attive garantiscono il controllo totale sugli account AWS aziendali. Un accesso di questo tipo permette a un attaccante di visualizzare, modificare o cancellare dati nel cloud, prendere il controllo di server e applicazioni, creare account amministrativi nascosti e persino installare cryptominer, generando costi elevati per la vittima. Truffle Security ha identificato complessivamente 431.875 segreti AWS in repository di codice, cronologie Git, dataset, immagini Docker, registri e log CI, da cui sono state estratte 64.024 chiavi uniche relative a 50.654 account AWS. Dopo la rimozione dei duplicati, il set di chiavi completamente verificabili era di 10.616, di cui l'88% risultava ancora autenticabile al 10 agosto.
Origine delle chiavi e gestione delle credenziali
Hugging Face emerge come principale fonte di esposizione, con 8.482 chiavi AWS uniche trapelate tramite la piattaforma. Il 17,9% di queste erano root key, ossia credenziali senza restrizioni IAM. Analizzando 2.903 chiavi con data di creazione nota, la mediana di età era di 1.831 giorni (circa cinque anni), mentre la più vecchia risaliva a oltre 17 anni fa. Solo il 13,7% delle chiavi aveva una versione più recente associata allo stesso utente, segnalando una scarsa rotazione delle credenziali.
Prevenzione e raccomandazioni
Per limitare i rischi, gli esperti suggeriscono di eliminare tutte le root key, revisionare le credenziali IAM in base all'età, ruotare o revocare le chiavi esposte e attivare alert di budget per monitorare eventuali abusi. È fondamentale considerare compromessa qualsiasi credenziale pubblicata in un repository accessibile. Truffle Security sottolinea che i test sono stati condotti solo su metadati in modalità read-only e che tutti i proprietari identificabili sono stati avvisati.
Contesto e precedenti
La sicurezza delle credenziali cloud è un tema sempre più centrale, come dimostrano anche altri casi recenti di compromissione di account e infrastrutture digitali. Ad esempio, vulnerabilità simili sono state sfruttate in attacchi che hanno permesso l'accesso non autorizzato a sistemi aziendali, come illustrato nell'analisi sugli attacchi Plug and Pwn che sfruttano dispositivi USB per ottenere privilegi elevati su Windows (approfondimento su rischi di accesso non autorizzato).
