¿Qué ocurrió?

Un estudio reciente ha identificado más de 9.300 claves de acceso a AWS que fueron publicadas en repositorios públicos, foros y bases de datos de filtraciones entre agosto 2022 y agosto 2026. Estas credenciales siguen vigentes, lo que significa que cualquier persona que las obtenga puede autenticarse en la consola de AWS y ejecutar acciones con los permisos asociados a cada clave.

"Más de 9.300 claves siguen activas" – BleepingComputer

Impacto para las organizaciones

  • Control total de la infraestructura: con una clave válida, un atacante puede crear, modificar o eliminar recursos (instancias EC2, bases de datos, buckets S3, etc.).
  • Robo de datos y ransomware: el acceso a buckets S3 o bases de datos permite exfiltrar información sensible o cifrarla para exigir rescate.
  • Facturación inesperada: la ejecución de recursos costosos puede generar facturas millonarias.

Medidas recomendadas

  1. Rotar todas las claves expuestas y revocar aquellas que no se necesiten.
  2. Aplicar el principio de menor privilegio: limitar los permisos de cada clave al mínimo necesario.
  3. Habilitar MFA y usar roles temporales con AWS STS en lugar de claves permanentes.
  4. Monitorear el uso de credenciales mediante CloudTrail y alertas de actividad sospechosa.
  5. Escanear repositorios internos y externos en busca de credenciales inadvertidas.

Detección con DefensOps

  • Plan mínimo: Essential
  • Cobertura: Motor de correlación genérica que detecta patrones de uso anómalo de credenciales AWS y genera alertas en tiempo real.
  • Técnicas MITRE: N/A (cobertura basada en comportamiento y correlación de eventos).

¿Estás cubierto en DefensOps?

Con el plan Essential dispones de una cobertura genérica mediante nuestro motor de correlación, capaz de identificar actividades sospechosas relacionadas con claves AWS comprometidas. No depende de técnicas MITRE específicas, sino de la detección de comportamientos anómalos en tu entorno cloud.

Consulta nuestros planes y solicita una demo para proteger tus recursos en la nube.

Fuente: BleepingComputer – Hundreds of leaked AWS keys give full control over corporate accounts