Um levantamento realizado pela empresa de cibersegurança Truffle Security revelou que milhares de chaves de acesso da Amazon Web Services (AWS) estão expostas publicamente na internet, permitindo controle imediato sobre sistemas corporativos.
Foram analisados mais de 431 mil vazamentos em repositórios abertos de código e plataformas de IA, identificando 64.024 chaves distintas associadas a mais de 50 mil contas da principal plataforma de computação em nuvem do mercado.
Imagem: Reprodução/Truffle Security
Entre as credenciais ativas, 768 possuem privilégios máximos de administração, o que significa que qualquer pessoa em posse dessas credenciais pode assumir o controle sobre a infraestrutura digital das organizações afetadas.
A idade média das chaves ativas expostas é de cerca de 5 anos, e 86% delas nunca passaram por renovação ou exclusão desde que foram criadas. Invasores com posse dessas chaves podem roubar ou apagar dados confidenciais e sequestrar o poder de processamento dos servidores, gerando faturas astronômicas para as empresas afetadas.
| LEIA TAMBÉM: Nuvem Pública vs. Nuvem Privada: quais as principais diferenças?
Imagem: Reprodução/Truffle Security
Em resumo, os números são os seguintes:
- 768 credenciais corporativas ativas dão controle administrativo total sobre a conta em nuvem da empresa afetada;
- Dessas, 526 são chaves "root" (a chave-mestra da AWS) e 130 pertencem a contas centrais de gestão, ou seja, comprometem em cadeia todas as contas secundárias do grupo;
- A idade média das chaves ativas é de quase 5 anos, e 86% nunca passaram por qualquer renovação ou exclusão desde a criação;
- A maior fonte individual de vazamentos foi o Hugging Face, plataforma de compartilhamento de modelos de IA, prova de que reaproveitar código sem higienizar credenciais também é assunto de segurança da informação.
Procurada, a Amazon informou que notifica clientes afetados e aplica políticas de quarentena automática nas chaves comprometidas, reforçando que a segurança da conta segue o modelo de responsabilidade compartilhada.
Como evitar esse tipo de incidente?
Para evitar o vazamento e o uso indevido de credenciais de acesso, as organizações devem adotar a implementação rigorosa de práticas de higiene de identidade e a transição para infraestruturas de hospedagem dedicada em data centers Edge ou HyperEdege. Mesmo que erros humanos de aplicação, como o envio acidental de chaves para repositórios públicos, ainda afetem modelos dedicados de hospedagem, a adoção de infraestruturas privadas ou servidores dedicados altera o impacto estrutural desses incidentes da seguinte forma:
- Redução do raio de impacto: a ausência de um único plano de controle unificado via API impede que uma única credencial comprometa toda a infraestrutura da empresa.
- Isolamento de rede: ambientes dedicados operam com restrição de acesso público por padrão (VPNs e redes privadas), minimizando a visibilidade perante varreduras automatizadas na internet.
Infraestruturas privadas ou servidores dedicados atacam as causas que tornam o incidente da AWS tão grave ao descentralizar o controle e permitir isolamento de rede, além de fugir do radar dos robôs que varrem a internet em busca de credenciais de nuvem pública. No fim das contas, a infraestrutura privada não elimina o erro humano, mas reduz o tamanho do estrago em caso de incidentes.
