Lỗ hổng tích hợp AWS bị lợi dụng để đánh cắp bí mật

Các nhà nghiên cứu bảo mật của Wiz (thuộc Google) đã phát hiện một chiến dịch tấn công chuỗi cung ứng nhắm vào chính mối quan hệ tin cậy giữa các tài khoản AWS. Kẻ tấn công đã chiếm được thông tin xác thực của tài khoản AWS thuộc Qubole, rồi từ đó giả danh các vai trò tích hợp để chui vào môi trường đám mây của khách hàng.

Sự việc cho thấy một lỗ hổng quen thuộc nhưng nguy hiểm: các quyền truy cập cũ vẫn còn hiệu lực sau khi doanh nghiệp đã ngừng sử dụng một dịch vụ bên thứ ba.

Cách thức tấn công

Qubole là một nền tảng xử lý dữ liệu trên đám mây, sử dụng các IAM role (vai trò định danh và truy cập) liên tài khoản để quản lý tài nguyên tính toán và truy cập lưu trữ trong môi trường AWS của khách hàng. Cách làm này giúp khách hàng không phải cung cấp access key (khóa truy cập) AWS dài hạn — vốn là một rủi ro bảo mật.

Kẻ tấn công đã lợi dụng chính mối quan hệ tin cậy liên tài khoản này. Theo Wiz, hoạt động độc hại bắt đầu từ ngày 14/10/2026, khi thông tin xác thực gắn với tài khoản AWS của Qubole được dùng để gọi API sts:AssumeRole, nhằm lấy thông tin xác thực tạm thời cho các vai trò tích hợp do khách hàng quản lý.

Các cuộc gọi xuất phát từ tài khoản AWS Qubole số 805246085872, thông qua IAM user ID AIDA3W7DIFLYOLTK63SFS. Theo Wiz, IAM user này không hề xuất hiện trong bất kỳ hoạt động nào khác ngoài các hoạt động gắn với nhóm tấn công.

Hoạt động này tiếp diễn vào ngày 15/10. Đến ngày 18/10, những kẻ đột nhập bắt đầu dùng thêm một IAM user thứ hai từ cùng tài khoản.

Bên trong môi trường nạn nhân

Sau khi đã xâm nhập được vào môi trường của khách hàng, nhóm tấn công dò quét nhiều dịch vụ AWS và đánh cắp thông tin xác thực, khóa và các bí mật lưu trong Lambda, Secrets Manager và SSM Parameter Store.

Kẻ tấn công còn dùng công cụ TruffleHog để kiểm tra thông tin xác thực AWS của các tổ chức nạn nhân, phát hiện bí mật Microsoft Entra ID của họ, và yêu cầu OAuth token bằng thông tin đăng nhập của Okta mà chúng tìm thấy trong quá trình dò quét.

Việc lợi dụng các vai trò tích hợp cũng giúp chúng đánh cắp dữ liệu từ lưu trữ S3 của khách hàng. Tuy nhiên, đây phần lớn có vẻ là những kẻ tấn công cơ hội — trong một số trường hợp tải về toàn bộ bucket (thùng lưu trữ) — chứ không phải gián điệp được nhà nước bảo trợ nhắm tới dữ liệu cụ thể.

Các nhà điều tra chưa quy trách nhiệm cho nhóm nào, và cho biết chưa có thông tin về cách kẻ tấn công sử dụng dữ liệu bị đánh cắp.

Quy mô và các chiến dịch liên quan

Wiz từ chối tiết lộ số tổ chức bị ảnh hưởng, nhưng gọi đây là "một chiến dịch chuỗi cung ứng mang tính cơ hội, trên diện rộng" tấn công vào "nhiều" môi trường khách hàng.

Vì nhiều tổ chức vẫn để chính sách tin cậy hoạt động dù đã ngừng dùng nền tảng, kẻ tấn công đã có thể mạo danh các vai trò tích hợp, liệt kê tài nguyên đám mây, thu thập bí mật và rút dữ liệu.

Trong quá trình điều tra, Wiz còn phát hiện một chiến dịch riêng biệt từ ngày 8/10 đến 11/10, cũng dùng access key AWS của khách hàng cho các tích hợp Qubole. Một "số lượng nhỏ" trong đó dẫn tới việc kẻ đột nhập chiếm được môi trường AWS của nạn nhân, nhưng Wiz cho biết chưa thể khẳng định chắc chắn hai nhóm hoạt động này có liên quan với nhau.

Cả AWS và Qubole đều chưa trả lời yêu cầu bình luận của báo chí. Wiz phối hợp cùng đội ứng cứu sự cố Mandiant thuộc Google sau khi công ty bảo mật dữ liệu AI Sentra phát hiện hoạt động đáng ngờ.

Khuyến nghị cho tổ chức bị ảnh hưởng

Wiz khuyến nghị các tổ chức từng tích hợp với Qubole cần xoay vòng (rotate) thông tin xác thực — dù lưu ý rằng xoay vòng không chấm dứt các phiên tạm thời đã được cấp trước đó.

Các tổ chức nên rà soát CloudTrail từ ngày 1/10 trở đi, tìm các sự kiện AssumeRole có userIdentity.accountId khớp với ID tài khoản AWS của Qubole (805246085872), đặc biệt là những sự kiện xuất phát từ địa chỉ IP ngoài AWS.

Wiz cũng cho biết: "Với mỗi phiên role tìm được, hãy rà soát toàn bộ hoạt động sau đó từ phiên đó, đặc biệt là Secrets Manager, SSM Parameter Store, Lambda và S3", đồng thời khuyến nghị xoay vòng mọi bí mật, tham số và biến môi trường Lambda mà vai trò đó có thể đọc, và thu hồi các phiên đang hoạt động của vai trò.

Góc nhìn

Sự cố này là lời nhắc rằng mô hình tích hợp liên tài khoản (cross-account integration) tuy an toàn hơn việc dùng khóa dài hạn, nhưng vẫn tạo ra một bề mặt tấn công cốt lõi: bất kỳ ai có được thông tin xác thực của bên thứ ba đều có thể mạo danh và truy cập vào tài nguyên nội bộ. Điều nguy hiểm nhất nằm ở việc các chính sách tin cậy thường bị "bỏ quên" khi doanh nghiệp ngừng dùng dịch vụ.

Với các kỹ sư và doanh nghiệp Việt Nam đang vận hành hệ thống trên AWS với nhiều dịch vụ bên thứ ba, cần coi việc dọn dẹp các IAM role không còn dùng là một bước bắt buộc trước khi ngừng hợp tác với bất kỳ nhà cung cấp nào. Đồng thời, cần bật ghi log CloudTrail đầy đủ, theo dõi các sự kiện AssumeRole và các truy cập bất thường vào Secrets Manager, SSM hay S3, bởi đây là những nơi kẻ tấn công thường tìm tới đầu tiên.