Estudo encontra 10 mil chaves da AWS vazadas ainda ativas, algumas com controle total da conta

A empresa de segurança Truffle Security publicou uma pesquisa mostrando que uma quantidade expressiva de chaves de acesso da Amazon Web Services↳AWS20 conteúdosE-mails de verificação com AWS SES + Lambda (Node.js) e Terraform: do zero ao envioDevSecOps · out 2025Codex na AWS: chegada do agente da OpenAI à nuvem da AmazonDevSecOps · abr 2026Salesforce e AWS ampliam colaboração em IA, CRM e marketplaceDevSecOps · nov 2023Ver tudo em DevSecOps → (AWS) que já vazaram publicamente continua válida e utilizável meses, e em muitos casos anos, depois de terem sido expostas. O levantamento foi noticiado pela CNews e pelo Bleeping Computer.

O que os pesquisadores encontraram

A Truffle rastreou 431.875 segredos da AWS espalhados por repositórios de código, histórico de Git, datasets, imagens Docker, registries e logs de CI. Desse volume, extraiu 64.024 chaves únicas, correspondendo a 50.654 contas AWS depois de remover duplicatas.

Mas o dado que importa é outro: apenas 10.616 chaves tinham as credenciais completas necessárias para revalidação (ou seja, chave e segredo pareados). Dessas, 88% continuavam válidas em 10 de agosto. Em números absolutos, isso significa mais de 9.300 chaves comprometidas entre agosto de 2022 e agosto de 2026 ainda funcionando, mesmo com o vazamento sendo de conhecimento público.

O nível de acesso dessas chaves é o que transforma o problema em risco crítico:

• 526 chaves com acesso root à conta AWS, o nível mais alto, que ignora até as restrições de IAM.
• 42 chaves de usuários com permissões administrativas de IAM (poder de criar, alterar, deletar e monitorar praticamente todos os serviços da conta).
• 817 chaves ligadas a empresas específicas identificáveis.
• 768 chaves, segundo os pesquisadores, davam controle total sobre a conta corporativa na AWS.

Chaves velhas que ninguém rotaciona

O retrato de higiene de credenciais é ruim. A idade mediana de quase três mil chaves da amostra é de cerca de 5 anos, e a chave mais antiga encontrada tinha 17,4 anos. Pior: em apenas 13,7% dos casos houve algum tipo de rotação da chave para o mesmo usuário ao longo do tempo.

Dmitri Peshkov, especialista em segurança da informação da empresa SEQ ouvido pela CNews, resumiu: "Esses números demonstram a situação real da cibersegurança na AWS mais eloquentemente do que qualquer relatório. Pelo visto, ninguém se interessou pelo 'estado de saúde' dessas chaves por muitos anos, e qual parte delas já foi usada por criminosos ninguém vai conseguir dizer com precisão." Ele acrescenta que o problema não é da Amazon, e sim da postura pouco responsável dos usuários finais da nuvem.

De onde vem o vazamento

Um detalhe chama atenção pela relevância para quem trabalha com IA↳Inteligência artificial440 conteúdosUX e IA: Transformando Experiências Digitais com Inteligência ArtificialProduto & UX · jan 2025MCP: O que é e por que você vai ouvir falar disso em breve?AI · jul 2025IA generativa e a urgência de reconstruir nossa relação com a verdadeAI · jun 2025Ver tudo em AI →: a maior fonte de vazamentos no conjunto foi a plataforma Hugging Face, hub de modelos e datasets de machine learning. Sozinha, ela respondia por 8.482 chaves únicas, e 17,9% dessas eram de contas root, aquelas que nem o IAM consegue limitar.

Isso faz sentido no fluxo de trabalho de ML: notebooks, scripts de treino e configs de deploy frequentemente carregam credenciais hardcoded que acabam commitadas em repositórios e model cards públicos. Para times brasileiros que estão empurrando projetos de IA para produção usando Hugging Face e AWS juntos, é um alerta direto.

O risco concreto: cryptomining na sua fatura

Além do roubo de dados e do sequestro de acesso a servidores e aplicações, o cenário mais imediato é financeiro. Com uma chave válida, um invasor pode instalar cryptominers na conta e consumir capacidade computacional sem parar, o que se converte automaticamente em prejuízo, já que na nuvem você paga pelo que roda.

E aqui mora um agravante: das 2.754 contas legíveis analisadas, apenas 262 tinham algum alerta de estouro de consumo configurado. Ou seja, a maioria das contas expostas simplesmente não perceberia um pico anômalo de gastos até chegar a fatura.

O que fazer agora

A recomendação da Truffle Security é tratar qualquer credencial que já esteve em acesso público como comprometida, sem exceção. Na prática:

• Remover todas as chaves de acesso root. Root não deveria ter access key nenhuma; o acesso à conta raiz é para casos excepcionais e via MFA.
• Auditar as credenciais IAM por prazo de validade e uso. O IAM Credential Report lista a idade de cada chave e quando foi usada pela última vez.
• Rotacionar ou revogar imediatamente chaves comprometidas ou antigas.
• Configurar alertas de consumo (AWS Budgets / CloudWatch billing alarms) para pegar cryptomining e uso anômalo cedo.

Um ponto prático para o dia a dia: rode um scan de segredos no seu histórico de Git antes que outra pessoa faça. Ferramentas como o próprio TruffleHog (open source↳Open source71 conteúdosComo o Open Source Está Liberando o Poder da Automação para TodosDev (Back & Front) · out 2025Código aberto: programadores criam software da NASA sem saberDev (Back & Front) · abr 2021N8N: O que é a ferramenta open source que está revolucionando a automação em TI?Dev (Back & Front) · dez 2025Ver tudo em Dev (Back & Front) →, da mesma empresa) ou o git-secrets varrem commits atrás de padrões de access key. E vale lembrar que git rm não resolve: uma chave commitada e depois removida continua no histórico e deve ser considerada vazada de qualquer jeito.

Do lado da Amazon, a empresa afirmou ao Bleeping Computer que está ciente do vazamento e que todos os usuários afetados foram notificados. "Investigamos minuciosamente todos os relatos de exposição de chaves e tomamos as medidas necessárias com rapidez, como aplicar quarentena, para minimizar os riscos aos clientes sem interromper o funcionamento do ambiente de TI deles", disse um representante.

O que fica em aberto

O estudo não afirma que essas chaves específicas já foram exploradas por criminosos, e como o próprio especialista citado aponta, é praticamente impossível saber quantas já estão sendo usadas ativamente. A quarentena mencionada pela AWS depende de a empresa detectar a exposição, o que claramente não aconteceu para a maioria das chaves da amostra, dado que 88% seguiam válidas. Na prática, a responsabilidade de fechar essas portas continua nas mãos de quem opera a conta, sob o modelo de responsabilidade compartilhada da nuvem.

Fonte: CNews (Rússia)