חברת הסייבר Wiz, יחד עם חברת אבטחת המידע הישראלית Sentra ועם Mandiant של גוגל, חשפה מתקפה שבה תוקף ניצל הרשאות של פלטפורמת עיבוד הנתונים Qubole כדי לחדור לסביבות הענן של לקוחותיה באמזון (AWS). לפי Wiz, בין 14 ל-26 באוקטובר השתמש התוקף בפרטי גישה (IAM) של חשבון AWS שקשור ל-Qubole, "התחזה" לתפקידים שהלקוחות הגדירו עבור Qubole, וגנב סודות ונתונים מחשבונות של לקוחות רבים. לפי BleepingComputer, נפגעו עשרות חברות.
המנגנון פשוט ומדאיג. כדי ש-Qubole תוכל לעבד נתונים בשביל לקוח, הלקוח מגדיר בחשבון ה-AWS שלו "תפקיד" (Role) שמאפשר לחשבון של Qubole להיכנס ולפעול. זה מנגנון לגיטימי ונפוץ מאוד. אבל ברגע שמישהו השיג את פרטי הגישה של Qubole, כל התפקידים האלה הפכו לדלתות פתוחות. לפי Wiz, התוקף נראה אופורטוניסט, ולקח מה שמצא באחסון S3.
עדיין לא ידוע איך התוקף השיג את פרטי הגישה של Qubole, ולפי הדיווחים החברה לא פרסמה הודעה פומבית על האירוע. Qubole, פלטפורמה ותיקה לעיבוד נתונים גדולים, כבר מזמן לא נמצאת במרכז תשומת הלב, ובדיוק בגלל זה המקרה מטריד: סביר שחלק מהלקוחות שכחו שבכלל יש להם תפקיד פעיל שמאפשר לה גישה, ושהוא עדיין שם, שנים אחרי שהפסיקו להשתמש בשירות.
זה דפוס שחוזר השבוע שוב ושוב. בנק צרפתי נשדד דרך ספק טכנולוגיה, ספקית דיוור יפנית חשפה כתובות של מאות לקוחות, ועכשיו ספק נתונים שימש כדלת אחורית לענן. בכל המקרים, התוקף לא תקף את הארגון ישירות, אלא את מי שהארגון נתן לו מפתח. העובדה שחברה ישראלית, Sentra, הייתה שותפה לחשיפה מראה גם כמה התחום של אבטחת נתונים בענן הפך לליבה של תעשיית הסייבר הישראלית.
מה לעשות? Wiz ממליצה למפות את כל התפקידים בחשבונות ה-AWS שמאפשרים גישה לחשבונות חיצוניים, ולמחוק כל תפקיד של Qubole שכבר לא בשימוש. במקום שבו הספק תומך בכך, כדאי להגביל את מדיניות האמון לזהות הספציפית שהספק משתמש בה, ולא לחשבון כולו. ובאופן כללי: כל ספק שהפסקתם לעבוד איתו צריך לאבד את הגישה שלו באותו יום.
