駭客利用大數據平臺Qubole被竊憑證，入侵數十家企業AWS環境竊取資料

雲端資安業者Sentra與Wiz於11月9日揭露一起供應鏈攻擊事件，駭客取得大數據處理與資料湖平臺Qubole的AWS身分與存取管理（IAM）憑證，利用企業先前授予Qubole的跨帳戶存取權限，入侵數十家企業的AWS環境。Qubole可協助企業管理與分析大規模資料集，並提供AWS整合功能，企業可透過建立跨帳戶IAM角色，授予Qubole存取其AWS資源的權限。調查指出這起攻擊活動發生於10月14日至26日，部分企業雖已停用Qubole，卻仍保留相關信任設定，沒有撤銷舊有IAM角色，以致成為被害對象。

Wiz指出，攻擊者利用遭竊的兩組Qubole IAM帳號，透過AWS的AssumeRole請求機制取得臨時憑證，並通過用來驗證第三方服務的External ID檢查，從而進入受害企業的AWS環境，接著攻擊者搜尋S3儲存桶，讀取AWS Secrets Manager、Parameter Store及Lambda環境變數中的密碼與金鑰，還利用TruffleHog工具驗證竊得的AWS、Microsoft Entra ID及Okta憑證是否有效。

Sentra表示，攻擊者在7分鐘內便取得約100組密碼與金鑰，並從受害企業的S3儲存桶大量下載資料，其中一家企業就有數百萬個檔案遭竊。研究人員未觀察到資料寫入或刪除行為，研判攻擊者可能以收集資料為目的。目前尚不清楚Qubole憑證遭竊的途徑，研究人員建議企業檢查AWS存取紀錄、撤銷不再使用的第三方整合權限，並更換可能外洩的憑證。