VKSECURITY Atacaram a conta mais poderosa da AWS em 150 empresas — e o que impediu o desastre foi o básico
Uma campanha testou senhas contra a conta 'root' da AWS — a que manda em tudo — em mais de 150 organizações. Não conseguiram entrar em nenhuma. O que separou o susto do desastre é uma medida que cabe em cinco minutos: MFA na conta root.
Toda conta de nuvem tem uma chave-mestra. Na AWS, ela se chama conta root (ou usuário raiz): é a identidade que criou o ambiente e que tem poder sobre tudo — recursos, configurações, cobrança, permissões de todo mundo. Justamente por isso, ela é o alvo dos sonhos de um invasor. E foi contra ela que se voltou uma campanha recém-descoberta.
O que aconteceu
A Datadog Security Labs observou, entre 24 de julho e 23 de agosto de 2026, uma campanha de password spraying contra contas root da AWS em mais de 150 organizações. “Password spraying” é uma tática específica: em vez de tentar mil senhas numa conta só (o que dispara bloqueios), o atacante testa poucas senhas comuns em muitas contas diferentes — passa raspando, devagar, para não acionar alarmes. A mediana foi de apenas 2 tentativas por organização; algumas viram até 8.
Os ataques vieram de uma infraestrutura de proxies espalhada por vários países, para mascarar a origem. E as vítimas eram de setores e regiões variados, sem padrão — sinal de que o alvo não era ninguém em específico: era oportunista, qualquer conta root que aparecesse.
Há um detalhe que também importa: para mirar a conta root, o atacante precisa já saber o e-mail associado a ela. Ou seja, esses endereços vazaram ou foram deduzidos em algum momento — mais um lembrete de que o e-mail administrativo não deveria ser público nem óbvio.
O final feliz — e por que ele não foi sorte
O desfecho é o ponto mais instrutivo da história: nenhuma tentativa teve sucesso. Não houve comprometimento confirmado em nenhuma das 150+ organizações.
Isso não foi sorte. Foi o resultado do básico bem-feito: senhas fortes e, acima de tudo, segundo fator de autenticação (MFA) na conta root. Com MFA ativo, saber a senha não basta — e o password spraying, que aposta exatamente em senha fraca ou reaproveitada, bate numa parede.
A recomendação da própria Datadog é uma lista curta que vale para qualquer empresa que use AWS (ou qualquer nuvem):
- MFA na conta root, sem exceção. É a trava que derrubou essa campanha inteira.
- Não use a conta root no dia a dia. Ela deve ficar guardada para tarefas raras; o trabalho cotidiano se faz com contas de permissão limitada.
- Monitore o acesso root. Alertar sobre qualquer login direto, mudança de credencial ou uso da conta root — porque, fora as raras tarefas administrativas, ela não deveria estar sendo usada.
A lição que atravessa a notícia
É fácil ler “ataque a 150 empresas” e sentir que a ameaça é grande demais para o alcance de qualquer medida simples. O caso mostra o contrário: uma campanha coordenada, com infraestrutura profissional, quebrou contra uma configuração que leva cinco minutos para ativar.
Segurança raramente é sobre a defesa sofisticada e cara. É quase sempre sobre a medida chata e básica estar de fato ligada no lugar certo. A conta mais poderosa da sua nuvem tem MFA? Se a resposta demorar, essa é a tarefa da semana.
Fontes
- Datadog Security Labs — Password spraying campaign targets AWS root user accounts across 150+ organizations (2026): securitylabs.datadoghq.com
- Foto de capa: escritório da AWS em Houston, Texas — Tony Webster, CC BY 2.0, via Wikimedia Commons
