--- title: "Atakujący wykorzystali zaufany dostęp Qubole do kont AWS klientów" description: "Atakujący uzyskali dostęp do kont AWS wielu klientów Qubole, wykorzystując poświadczenia konta zaufanego przez te środowiska. Sprawdzamy, jakie dane były celem i jakie logi powinny przejrzeć organizacje." publisher: "Najnowsze Informacje" language: "pl-PL" canonical_url: "https://najnowsze-informacje.pl/cyberbezpieczenstwo/atakujacy-wykorzystali-zaufany-dostep-qubole-do-kont-aws-klientow" markdown_url: "https://najnowsze-informacje.pl/cyberbezpieczenstwo/atakujacy-wykorzystali-zaufany-dostep-qubole-do-kont-aws-klientow/index.md" date_published: "2026-11-10T15:04:04.897Z" date_modified: "2026-11-10T15:04:12.166Z" author: "Redakcja" category: "Cyberbezpieczeństwo" tags: - "cyberbezpieczeństwo" - "aws" - "qubole" - "wyciek-danych" - "bezpieczeństwo chmury" source_url: "https://thehackernews.com/2026/11/hackers-exploit-quboles-trusted-aws.html" source_name: "The Hacker News" image_url: "https://najnowsze-informacje.pl/api/media/file/cyberbezpieczenstwo-unsplash-1794250945133.jpeg" image_alt: "Green text displaying code on a dark computer screen" image_credit: "© MARCO / Unsplash" image_credit_url: "https://unsplash.com/@thephotoandfocus" --- # Atakujący wykorzystali zaufany dostęp Qubole do kont AWS klientów > Atakujący wykorzystali poświadczenia konta Qubole, aby wejść do środowisk AWS klientów i wykraść sekrety oraz dane. ## Kluczowe informacje - Atak trwał od 14 do 26 października i dotyczył kont AWS wielu klientów Qubole. - Napastnik wykorzystywał zaufaną rolę IAM oraz poświadczenia konta używanego przez platformę. - Sprawdzano sekrety w Lambda, Secrets Manager i SSM Parameter Store, a także dane w S3. - Wiz zaleca analizę logów CloudTrail od 1 października, również w organizacjach, które nie używają już Qubole. Atakujący uzyskali dostęp do kont AWS należących do wielu klientów platformy Qubole i wykraść mieli zapisane sekrety oraz dane. Według analizy firmy Wiz aktywność trwała od 14 do 26 października. Napastnik posłużył się poświadczeniami konta AWS używanego przez platformę Qubole do uzyskiwania dostępu do środowisk klientów. Nie ujawniono, w jaki sposób te poświadczenia zostały zdobyte. ## Zaufana rola otworzyła drogę do środowisk klientów Qubole, platforma do obsługi jezior danych należąca do Idera, działa wewnątrz kont AWS swoich klientów. Aby ją podłączyć, klient tworzy rolę IAM, czyli tożsamość z określonym zestawem uprawnień. Polityka zaufania tej roli, określana także jako trust policy, pozwala kontu AWS używanemu przez Qubole na jej przejęcie. Każde takie żądanie, nazywane AssumeRole, musi zawierać zgodny External ID przekazywany przez Qubole. Badacze Wiz ustalili, że atakujący dysponował poświadczeniami konta platformy, dlatego jego żądania były akceptowane. Większość przejętych ról nie była aktywnie używana, ale nadal ufała kontu Qubole. Istotne jest też to, że External ID nie jest traktowany przez AWS jako sekret i może być widoczny dla osoby mającej dostęp do roli. ## Celem były sekrety, poświadczenia i dane z S3 Aktywność w kilku środowiskach klientów zauważyła firma Sentra, która powiadomiła badaczy. W analizowanych kontach atakujący szukał zapisanych danych uwierzytelniających. Odczytywał zmienne środowiskowe funkcji Lambda, pobierał sekrety z usługi Secrets Manager oraz wartości z SSM Parameter Store. Następnie sprawdzał, czy odnalezione poświadczenia działają, korzystając z narzędzia TruffleHog. Wśród znalezionych danych były klucze dostępu AWS należące do ofiar, sekrety klientów Entra ID oraz dane uwierzytelniające klientów Okta. Napastnik kopiował również dane z usługi S3. Pobierał dane z zasobników, do których dawała dostęp przejęta rola, a w niektórych przypadkach pobierał cały zasobnik podczas jednej sesji. - Okno opisanej kampanii obejmowało okres od 14 do 26 października. - Podejrzane żądania pochodziły z konta AWS używanego przez Qubole, o identyfikatorze 805246085872, i były wykonywane spoza AWS. - Najważniejsze obszary do sprawdzenia to Lambda, Secrets Manager, SSM Parameter Store oraz S3. - Same zdarzenia zarządzania CloudTrail pokazują żądania AssumeRole i listowanie zasobników, ale nie wskazują odczytanych obiektów S3. ## Jak organizacje powinny przejrzeć logi Wiz zaleca, aby każda organizacja, która połączyła Qubole z AWS, sprawdziła logi CloudTrail od 1 października. Dotyczy to także środowisk, w których Qubole nie jest już używane, ponieważ role zaufane dla konta platformy mogły pozostać aktywne. Po znalezieniu podejrzanego żądania AssumeRole należy przeanalizować całą późniejszą aktywność tej sesji, zwłaszcza operacje dotyczące Lambda, Secrets Manager, SSM Parameter Store i S3. W przypadku S3 analiza może być ograniczona przez zakres dostępnego rejestrowania. Zdarzenia zarządzania CloudTrail pokazują między innymi przejęcie roli i wyświetlenie zawartości zasobnika, ale nie rejestrują automatycznie tego, które obiekty zostały odczytane. Do ustalenia tego zakresu potrzebne są zdarzenia danych S3 albo logi dostępu serwera. Badacze zaznaczyli, że część poszkodowanych nie miała wymaganych logów, dlatego nie można było ustalić, jakie dokładnie obiekty zostały pobrane. Źródło opisuje także odrębną aktywność z okresu od 8 do 11 października. W tym przypadku atakujący używał własnych kluczy dostępu AWS klientów, które według badaczy mogły zostać skonfigurowane na potrzeby Qubole. Doprowadziło to do przejęcia kilku środowisk, ale nie powiązano tej aktywności z nadużyciem AssumeRole. Badacze nie wskazali związku kampanii z innymi publicznie opisanymi działaniami ani z grupami sponsorowanymi przez państwa. W momencie sprawdzania Qubole i Idera nie opublikowały na swoich stronach komunikatu o incydencie, a nie było też informacji, czy wykorzystane poświadczenia zostały wyłączone lub czy aktywność ustała. ## Wyjaśnienie pojęć ### [Polityka zaufania](https://najnowsze-informacje.pl/definicje/polityka-zaufania) Reguły określające, kto może przejąć daną rolę IAM i korzystać z przypisanych jej uprawnień. ### [External ID](https://najnowsze-informacje.pl/definicje/external-id) Dodatkowy identyfikator dołączany do żądania przejęcia roli AWS przez zaufaną usługę. ### [Zdarzenia danych S3](https://najnowsze-informacje.pl/definicje/zdarzenia-danych-s3) Logi rejestrujące operacje wykonywane na obiektach przechowywanych w zasobnikach S3. ## Źródło pierwotne [The Hacker News](https://thehackernews.com/2026/11/hackers-exploit-quboles-trusted-aws.html) --- ## Informacje do cytowania - **Autor:** Redakcja - **Data publikacji:** 2026-11-10T15:04:04.897Z - **Ostatnia aktualizacja:** 2026-11-10T15:04:12.166Z - **Kategoria:** Cyberbezpieczeństwo - **Adres kanoniczny:** [https://najnowsze-informacje.pl/cyberbezpieczenstwo/atakujacy-wykorzystali-zaufany-dostep-qubole-do-kont-aws-klientow](https://najnowsze-informacje.pl/cyberbezpieczenstwo/atakujacy-wykorzystali-zaufany-dostep-qubole-do-kont-aws-klientow) - **Wersja Markdown:** [https://najnowsze-informacje.pl/cyberbezpieczenstwo/atakujacy-wykorzystali-zaufany-dostep-qubole-do-kont-aws-klientow/index.md](https://najnowsze-informacje.pl/cyberbezpieczenstwo/atakujacy-wykorzystali-zaufany-dostep-qubole-do-kont-aws-klientow/index.md) **Sugerowane cytowanie:** > Najnowsze Informacje, „Atakujący wykorzystali zaufany dostęp Qubole do kont AWS klientów”, 2026-11-10, https://najnowsze-informacje.pl/cyberbezpieczenstwo/atakujacy-wykorzystali-zaufany-dostep-qubole-do-kont-aws-klientow