Qubole: ruoli AWS abusati per rubare segreti ai clienti

Cosa è successo

I ricercatori Wiz Zack Morrow, Sean Johnstone e Benjamin Read, insieme agli incident responder di Mandiant (Google), hanno descritto una campagna contro i clienti di Qubole, una piattaforma di elaborazione dati nel cloud. L'allarme era partito dall'azienda di sicurezza Sentra, che aveva visto attività sospetta. Sentra parla di «più di una dozzina» di organizzazioni in un punto del suo articolo e di «decine» di clienti in un altro; BleepingComputer e CSO Online riportano «decine». Un numero preciso non è noto.

Qubole lavora nel cloud AWS dei clienti tramite ruoli IAM cross-account: permessi che il cliente concede all'account del fornitore, così non servono chiavi di accesso di lunga durata. Wiz parla di una «campagna opportunistica di supply chain» (attacco che passa da un fornitore) su «più» ambienti cliente, senza dire quanti.

Come hanno agito gli aggressori

Con credenziali IAM compromesse legate all'account AWS di Qubole, gli aggressori hanno chiamato sts:AssumeRole per ottenere credenziali temporanee sui ruoli di integrazione dei clienti. Nel blog Wiz le relazioni di fiducia erano ancora attive, quindi le richieste sono state accettate; The Register riporta che, per i ricercatori di Wiz, molte organizzazioni le avevano lasciate attive anche dopo aver smesso di usare la piattaforma (la frase è solo lì).

Dentro gli ambienti dei clienti hanno cercato segreti in Lambda, Secrets Manager e SSM Parameter Store, provato le credenziali trovate con lo strumento TruffleHog, trovato segreti Microsoft Entra ID, richiesto token OAuth con credenziali Okta e scaricato dati da S3, a volte interi bucket. Sentra riferisce che in sette minuti sono state lette circa 100 password e chiavi da tre punti di archiviazione, e che l'aggressore non ha scritto né cancellato nulla: ha solo letto e copiato.

Wiz indica attività con le credenziali dell'account Qubole tra il 14 e il 26 ottobre: 14 ottobre primo uso, 15 ottobre attività continua, 18 ottobre secondo utente IAM dello stesso account. Una campagna separata dell'8–11 ottobre, con chiavi AWS dei clienti, ha causato «un piccolo numero» di compromissioni; Wiz non è riuscita a collegarle con certezza.

Cosa non si sa

Non è noto con precisione quante organizzazioni siano coinvolte (le fonti dicono «più di una dozzina» o «decine») né quali, come siano state compromesse le credenziali di Qubole, chi sia dietro la campagna e come vengano usati i dati rubati. Sul numero di organizzazioni Wiz ha rifiutato di rispondere a The Register; sull'uso dei dati rubati dichiara di non avere informazioni dirette. Qubole non ha risposto a The Register né, secondo BleepingComputer, alla loro richiesta di commento. AWS ha dichiarato che i suoi servizi «non sono stati compromessi» e hanno «funzionato come previsto»: gli aggressori hanno usato credenziali di un fornitore terzo per assumere ruoli che i clienti avevano configurato per fidarsi di quel fornitore (The Register e BleepingComputer, aggiornamento dell'11 novembre).

Cosa controllare se usi AWS

Questi sono i consigli di Wiz, in gran parte condivisi da Sentra e riportati da The Register e BleepingComputer; l'ultimo è anche di AWS. Servono competenze da amministratore: se non le hai, passali a chi gestisce il tuo cloud.

1. Ruota le credenziali. Da sola non chiude le sessioni già emesse.
2. In CloudTrail, dal 1° ottobre 2026, cerca eventi AssumeRole con userIdentity.accountId = 805246085872 (l'account Qubole), soprattutto da indirizzi IP non AWS.
3. Per ogni sessione trovata, controlla l'attività successiva, in particolare su Secrets Manager, SSM Parameter Store, Lambda e S3.
4. Se un ruolo di integrazione è stato assunto, ruota ogni segreto, parametro e variabile d'ambiente Lambda che il ruolo poteva leggere e revoca le sessioni attive.