Explotan credenciales de Qubole para acceder a entornos AWS de varios clientes

El 10 de noviembre de 2026, investigadores de Wiz informaron de una campaña que permitió a un actor utilizar dos usuarios IAM comprometidos de Qubole para asumir roles en cuentas AWS de varios clientes. La actividad se desarrolló entre el 14 y el 26 de octubre y afectó a decenas de empresas cuyos entornos confiaban en una cuenta de AWS asociada a Qubole.

El atacante examinó recursos cloud, recuperó secretos de AWS Secrets Manager y SSM Parameter Store y leyó variables de entorno de Lambda. También empleó TruffleHog para validar claves de AWS, secretos de cliente de Microsoft Entra ID y credenciales de cliente de Okta.

Tras obtener acceso, descargó datos de todos los buckets S3 accesibles. Sentra confirmó decenas de víctimas y millones de archivos sustraídos de uno de los clientes. Según la investigación, el actor recopiló secretos con rapidez, a un ritmo de 100 contraseñas y claves en siete minutos.

Wiz inició la investigación después de que Sentra comunicara actividad sospechosa observada en entornos de algunos clientes. Mandiant también participó en el análisis. El informe no determina cómo fueron comprometidas las cuentas de Qubole ni precisa el número total de víctimas.

AWS afirmó que sus servicios no fueron comprometidos y que funcionaron según lo previsto, ya que el acceso se produjo mediante credenciales asociadas a un proveedor externo y roles IAM que los clientes habían configurado para confiar en él. La compañía recomendó revisar los roles IAM entre cuentas, eliminar integraciones sin uso, aplicar permisos mínimos y añadir restricciones como límites por dirección IP.

Los administradores potencialmente afectados deberían revisar los registros de CloudTrail desde el 1 de octubre, investigar accesos posteriores a secretos y S3, rotar las credenciales expuestas y revocar sesiones activas de roles. También se recomienda retirar integraciones no utilizadas y restringir los permisos, identidades confiables y redes de origen permitidas.

Fuente: BleepingComputer.