Peneliti keamanan menemukan kampanye pencurian data yang memanfaatkan kredensial AWS milik penyedia platform analitik Qubole untuk memasuki lingkungan cloud pelanggan. Aktivitas yang diamati berlangsung pada 14–26 Oktober 2026 dan berdampak pada puluhan perusahaan. Pelaku memanfaatkan hubungan kepercayaan lintas akun yang sebelumnya disiapkan pelanggan untuk integrasi Qubole.
Investigasi melibatkan Sentra, Wiz, dan Mandiant. Sentra awalnya mendeteksi aktivitas mencurigakan di lingkungan beberapa pelanggannya, lalu membagikan temuan itu kepada Wiz. Menurut laporan, jutaan berkas diambil dari satu pelanggan saja. Cara awal pelaku mendapatkan kredensial Qubole belum dijelaskan secara publik.
Integrasi lintas akun menjadi jalan masuk
Qubole membantu perusahaan memproses data berukuran besar, menjalankan analitik, dan mengelola sumber daya komputasi. Integrasinya dengan AWS dapat menggunakan IAM role lintas akun. Pelanggan membuat role di akun sendiri, lalu menetapkan pihak luar yang boleh menggunakannya melalui kebijakan kepercayaan.
Dengan mekanisme itu, penyedia layanan dapat meminta kredensial sementara melalui AWS Security Token Service, menggunakan operasi AssumeRole. Kredensial sementara hanya memberikan akses sesuai izin role pelanggan. Kebijakan kepercayaan menentukan identitas yang boleh mengambil role, sedangkan kebijakan izin menentukan tindakan dan sumber daya yang dapat dijangkau.
Dokumentasi AWS menjelaskan bahwa mekanisme ini memungkinkan delegasi tanpa menyerahkan kunci akses permanen pelanggan. Namun, hubungan tersebut tetap perlu ditinjau sepanjang masa penggunaan integrasi. Role yang tidak lagi dibutuhkan dapat terus menjadi pintu akses jika kepercayaannya belum dicabut.
Pelaku menggunakan role yang sudah tidak aktif dipakai
Wiz menemukan dua identitas IAM dari akun AWS yang terkait Qubole digunakan dalam kampanye. Banyak role pelanggan yang diambil alih tidak memperlihatkan aktivitas sah dari penyedia layanan selama periode yang diperiksa. Kebijakan kepercayaannya masih berlaku, sehingga permintaan pelaku tetap diterima.
Permintaan yang diatribusikan kepada pelaku juga menyertakan External ID. AWS menjelaskan bahwa External ID dirancang untuk membantu mencegah masalah confused deputy, ketika penyedia layanan keliru bertindak atas nama pelanggan. Nilai ini bukan rahasia yang setara dengan kata sandi dan dapat dilihat pihak yang memiliki izin membaca konfigurasi role.
Temuan tersebut memperlihatkan mengapa External ID perlu dipadukan dengan pembatasan identitas, jaringan, dan izin. Kehadirannya sendiri tidak menggantikan perlindungan kredensial pada akun penyedia layanan.
Rahasia aplikasi dan data S3 menjadi sasaran
Setelah masuk, pelaku memetakan sumber daya dan mengakses lokasi penyimpanan rahasia, termasuk Secrets Manager, SSM Parameter Store, serta variabel lingkungan Lambda. Kredensial tambahan yang ditemukan kemudian diperiksa validitasnya menggunakan TruffleHog. Temuan mencakup kunci AWS, rahasia klien Microsoft Entra ID, dan kredensial klien Okta.
Pelaku juga mengunduh data dari bucket S3 yang dapat dijangkau role tersebut. Polanya bersifat oportunistis, mengikuti izin yang tersedia. Sentra melaporkan pengumpulan sekitar 100 kata sandi dan kunci dalam tujuh menit. Akses integrasi yang terlalu luas dapat memperbesar jumlah data dan kredensial yang terdampak setelah satu identitas dipercaya berhasil disalahgunakan.
Periksa CloudTrail dan cabut akses integrasi lama
Peneliti menyarankan organisasi yang pernah terhubung dengan Qubole meninjau CloudTrail sejak 1 Oktober 2026. Pemeriksaan perlu mengikuti aktivitas sesi role hingga akses ke rahasia dan penyimpanan. Untuk melihat pembacaan objek S3, organisasi perlu memiliki pencatatan data events atau log akses S3 yang sesuai.
Jika ditemukan akses tanpa izin, kredensial yang dapat dibaca role perlu diganti dan sesi aktifnya dicabut. Integrasi yang tidak digunakan sebaiknya dihapus, sementara role yang masih diperlukan dibatasi mengikuti prinsip hak akses minimum dan jaringan sumber yang disetujui.
Dalam tanggapan pada 11 November, AWS menyatakan layanannya berjalan sesuai rancangan. Menurut perusahaan, pelaku memakai kredensial penyedia pihak ketiga untuk mengambil role yang memang telah dikonfigurasi pelanggan agar mempercayai penyedia tersebut.
Sumber: Wiz – Trusted by Default: Qubole Cross-Account Access Abused in the Wild
