Исследователи обнаружили более 9300 активных и действительных ключей AWS, публично раскрытых за последние четыре года

Компания Truffle Security, занимающаяся отслеживанием утечек облачных учетных данных, выявила тревожную статистику: за период с августа 2022 года по август 2026 года более 9300 ключей доступа к Amazon Web Services остаются активными и действительными, несмотря на то что были опубликованы в открытых источниках.

Исследователи обнаружили более 9300 активных и действительных ключей AWS, публично раскрытых за последние четыре года. Фото: из архива компании

Исследователи проанализировали 431 875 секретов, найденных в репозиториях кода, истории Git, наборах данных, образах Docker, реестрах и журналах CI, и извлекли 64 024 уникальных ключа AWS, соответствующих 50 654 учетным записям. Из подмножества в 10 616 ключей, для которых имелись полные учетные данные для повторной проверки, 88% всё ещё проходили аутентификацию по состоянию на 10 августа 2026 года.

Особую тревогу вызывает то, что 526 скомпрометированных ключей принадлежали корневому пользователю, который обладает наивысшими привилегиями и не ограничен политиками IAM. Ещё 242 ключа были связаны с пользователями IAM, имеющими политику AdministratorAccess, предоставляющую полный контроль над всеми сервисами и ресурсами AWS в рамках учетной записи.

Таким образом, 768 ключей в этих двух категориях, по оценкам исследователей, дают злоумышленникам возможность полного управления облачной инфраструктурой компании, включая доступ к данным, их кражу или удаление, захват серверов и приложений, создание поддельных административных учетных записей для постоянного доступа и даже развертывание криптомайнеров, что может привести к колоссальным финансовым потерям.

Крупнейшим источником утечек ключей стала платформа Hugging Face, где разработчики делятся моделями ИИ и наборами данных, — через неё было выявлено 8482 уникальных случая утечки. При этом медианный возраст обнаруженных ключей составил 1831 день (около пяти лет), а самый старый действовал 17,4 года, и лишь у 13,7% из них был более новый ключ, связанный с тем же пользователем, что говорит о систематическом отсутствии ротации.

В ответ на эти данные AWS заявила, что уведомляет клиентов о раскрытых ключах и принимает меры, включая применение политик карантина для минимизации рисков, а также призывает всех клиентов следовать передовым практикам безопасности, удалять ключи root-пользователя, проверять срок действия учетных данных IAM, немедленно отзывать скомпрометированные ключи и настраивать оповещения о бюджетных потерях.