Los investigadores encontraron 768 claves de AWS filtradas que aún funcionan, y la política de contención deja muchas posibilidades.

      Truffle Security encontró 768 claves de AWS filtradas que otorgan control total de cuentas corporativas, incluyendo 526 claves raíz, con el 88% de las credenciales probadas aún activas. AWS aplica una política de cuarentena a las claves que detecta como filtradas, lo que aún permite una larga lista de acciones dañinas.

      Los investigadores han encontrado 768 claves filtradas de Amazon Web Services que aún dan control total de la cuenta de una empresa. Entre las credenciales expuestas había 526 claves raíz, lo más privilegiado que posee un cliente de AWS.

      La escala de la búsqueda explica el número. Truffle Security recopiló 431,875 secretos de AWS de repositorios, historial de git, conjuntos de datos, imágenes de Docker y registros de CI, los redujo a 64,024 claves únicas y probó aquellas donde estaban disponibles credenciales completas.

      La mayoría de ellas funcionaron. A partir del 10 de agosto, el 88% de las claves verificadas aún autenticaban, de un total de 10,616 probadas.

      La fuente única más grande no era un host de código en el sentido tradicional. Hugging Face representó 8,482 exposiciones de claves únicas, lo que sucede cuando los repositorios de modelos heredan los hábitos de los de software.

      Nadie está rotando nada. La clave mediana con una fecha de creación conocida tenía aproximadamente cinco años, y solo el 13.7% tenía una clave más nueva emitida al mismo usuario.

      Amazon reacciona cuando detecta una filtración. Aplica una política de cuarentena destinada a limitar el daño relacionado con el fraude sin, en sus palabras, afectar los recursos existentes, en un servicio donde el robo de credenciales se ha convertido en una categoría recurrente.

      Escribiendo en The Register, el economista de la nube Corey Quinn argumenta que esa política deja disponible demasiado. Las credenciales en cuarentena aún pueden asumir otros roles en la cuenta, ejecutar comandos en instancias en ejecución, detener el registro de CloudTrail y eliminar completamente la pista de auditoría.

      Un ejemplo destaca por su permanencia. Se permite escribir en un bucket, así como establecer bloqueo de objetos y retención, por lo que un atacante puede llenar el almacenamiento y aplicar una retención en modo de cumplimiento que no puede ser acortada por nadie, incluyendo el soporte de AWS, sin eliminar toda la cuenta.

      Ese análisis es la interpretación de un profesional sobre una política publicada en lugar de un ataque demostrado. También es una lista que cualquiera puede verificar contra la propia documentación de Amazon, que es la parte incómoda.

      Para las empresas europeas, esto recae en un escritorio específico. Las entidades financieras han estado sujetas a la Ley de Resiliencia Operativa Digital desde enero de 2025, y TNW informó que la mayoría no estaban preparadas para ello.

      Una clave raíz de cinco años en un conjunto de datos público es precisamente el riesgo tecnológico de terceros que esas reglas piden a las empresas que encuentren y documenten. La rotación que nadie está haciendo es el control que la regulación asume que existe.