Por Canuto  

Una investigación de Truffle Security identificó 768 claves de AWS filtradas que aún permitían acceder a cuentas corporativas, mientras un análisis sobre la política de cuarentena del proveedor advierte de acciones potencialmente destructivas que podrían permanecer disponibles.
***

  • Truffle Security recopiló 431.875 secretos de AWS y verificó 10.616 credenciales completas, de las cuales el 88% aún se autenticaba.
  • Entre las exposiciones había 526 claves raíz, el nivel de privilegio más alto para clientes de AWS, y muchas tenían años sin rotación.
  • Un análisis sobre la cuarentena de AWS advierte que algunas credenciales podrían conservar permisos para asumir roles, ejecutar comandos, detener CloudTrail y manipular almacenamiento con retención permanente.

 

Una investigación de Truffle Security identificó 768 claves de Amazon Web Services (AWS) filtradas que todavía otorgaban control total sobre cuentas corporativas. El hallazgo incluye 526 claves raíz, consideradas las credenciales con mayor nivel de privilegio para un cliente del servicio, y expone una brecha entre detectar un secreto comprometido y eliminar por completo su capacidad operativa.

El problema adquiere mayor dimensión porque las credenciales no procedían de una única plataforma ni de un incidente aislado. Truffle Security recopiló 431.875 secretos de AWS a partir de repositorios, historiales de Git, conjuntos de datos, imágenes de Docker y registros de integración y despliegue continuos, antes de reducir el universo a 64.024 claves únicas, reseña The Next Web.

Una mayoría de credenciales todavía funcionaba

La firma probó aquellas exposiciones para las que disponía de credenciales completas y encontró que la mayoría aún podía autenticarse. Según el análisis, al 10 de agosto el 88% de las 10.616 claves verificadas seguía activo, un resultado que apunta a prácticas insuficientes de revocación y rotación dentro de las organizaciones.

La antigüedad de las claves refuerza esa lectura. La credencial mediana cuya fecha de creación pudo determinarse tenía alrededor de cinco años, mientras que solo el 13,7% contaba con otra clave más reciente emitida para el mismo usuario, una señal de que muchas empresas no reemplazan sistemáticamente los secretos después de desplegarlos.

La fuente individual más grande tampoco fue un sitio de alojamiento de código en el sentido tradicional. Hugging Face concentró 8.482 exposiciones de claves únicas, un dato que muestra cómo los repositorios de modelos de inteligencia artificial pueden heredar hábitos de seguridad propios del desarrollo de software, incluida la publicación accidental de credenciales.

Una clave expuesta no equivale automáticamente a una intrusión confirmada, pero sí reduce drásticamente la barrera de entrada para un atacante. Si el secreto conserva permisos amplios, quien lo obtenga podría explorar recursos, modificar configuraciones o generar costos, dependiendo de los controles adicionales que la empresa haya implementado.

La cuarentena no elimina todos los riesgos

AWS reacciona cuando detecta que una credencial fue filtrada mediante una política de cuarentena. El objetivo declarado consiste en limitar los daños vinculados con el fraude sin afectar los recursos existentes, aunque el alcance de las acciones que permanecen disponibles se convirtió en el centro de la discusión.

Corey Quinn, economista de la nube, sostuvo en un análisis citado por The Register que la política deja demasiado margen de maniobra. Según esa lectura, una credencial en cuarentena todavía puede asumir otros roles dentro de la cuenta, ejecutar comandos en instancias que siguen activas, detener el registro de CloudTrail y eliminar el rastro de auditoría.

Estas posibilidades son especialmente sensibles porque CloudTrail registra actividad relevante en los entornos de AWS y ayuda a reconstruir qué usuario o credencial realizó una operación. Si un atacante logra detener ese mecanismo y borrar evidencias, la empresa podría enfrentar simultáneamente el daño operativo y una investigación forense más difícil.

El análisis no describe un ataque demostrado contra una cuenta concreta mediante esa combinación de permisos. Presenta, más bien, una interpretación profesional de una política publicada por AWS y una lista de acciones que cualquier interesado puede contrastar con la documentación oficial del proveedor, lo que convierte el debate en una cuestión verificable de diseño y control.

El almacenamiento puede transformarse en un punto de presión

Uno de los ejemplos más llamativos se relaciona con los permisos para escribir en un bucket. Una credencial en cuarentena todavía podría utilizar esa capacidad y, además, establecer bloqueo de objetos y políticas de retención, una combinación que abre la puerta a un abuso costoso y difícil de revertir.

En ese escenario, un atacante podría llenar el almacenamiento con datos y aplicar una retención en modo de cumplimiento. Ese modo impide acortar el periodo establecido, incluso para el soporte de AWS, de acuerdo con el análisis citado, por lo que la organización tendría que considerar la eliminación completa de la cuenta para deshacerse del material retenido.

El riesgo no se limita al precio de guardar información innecesaria. La retención forzada puede complicar la respuesta a incidentes, consumir capacidad, alterar procesos de respaldo y obligar a los equipos a mantener recursos que ya no cumplen una función operativa, mientras intentan determinar si los datos fueron utilizados para ocultar otra actividad.

La advertencia debe interpretarse con precisión: la posibilidad técnica no demuestra que cada clave en cuarentena haya sido usada de ese modo. Sin embargo, la existencia de permisos residuales capaces de afectar registros, instancias y almacenamiento sugiere que la contención automática debería evaluarse junto con medidas internas de revocación, monitoreo y segmentación.

La regulación europea eleva la presión sobre las empresas

Para las empresas europeas, el caso también tiene una dimensión regulatoria. Las entidades financieras están sujetas desde enero de 2025 al Reglamento de Resiliencia Operativa Digital, conocido como DORA, que exige gestionar y documentar riesgos tecnológicos, incluidos los asociados con proveedores y servicios de terceros.

La investigación coloca ese requisito en un ejemplo concreto. Una clave raíz creada hace cinco años y publicada en un conjunto de datos representa exactamente el tipo de exposición tecnológica que una organización debería identificar, registrar y corregir antes de que se convierta en una vía de acceso para un tercero.

La rotación de credenciales aparece así como un control básico, pero los datos sugieren que no se aplica con la frecuencia esperada. El hecho de que solo el 13,7% de las claves tuviera una credencial posterior para el mismo usuario indica que la emisión inicial suele ocurrir sin un ciclo claro de reemplazo, revisión de permisos y retiro de secretos antiguos.

La responsabilidad, no obstante, se reparte entre el proveedor y sus clientes. AWS puede detectar patrones de filtración y aplicar restricciones, pero las empresas deben retirar claves comprometidas, reducir privilegios, separar funciones, proteger los registros y evitar que repositorios de código, datos o modelos incorporen secretos reutilizables.

El hallazgo de Truffle Security no prueba que las 768 claves hayan provocado pérdidas ni que todas mantuvieran idénticos permisos después de la cuarentena. Sí muestra que una credencial publicada puede permanecer operativa durante años y que la contención parcial, sin rotación y supervisión complementarias, deja una superficie de ataque considerable para organizaciones que dependen de la nube.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados