VKSECURITY 9.300 chaves da AWS esquecidas em público ainda funcionam — e 768 abrem empresas inteiras
Pesquisadores testaram milhares de chaves de acesso da nuvem da Amazon vazadas em repositórios públicos nos últimos 4 anos: 88% ainda autenticam. Centenas dão controle TOTAL da conta da empresa — e a idade média das chaves é de 5 anos. Não foi invasão: foi esquecimento. O que a sua empresa precisa checar ainda hoje.
Existe um tipo de vazamento que não precisa de hacker, não precisa de malware e não aparece em manchete — até que alguém resolva medir. A empresa de segurança Truffle Security fez essa medição com as chaves de acesso da AWS, a nuvem da Amazon onde boa parte das empresas do mundo roda seus sistemas. O resultado, publicado nesta semana, é um retrato do descuido:
- Vasculhando repositórios de código públicos, históricos do Git, imagens Docker e datasets de IA, eles encontraram 64 mil chaves únicas da AWS expostas entre 2022 e 2026;
- Testaram 10.616 delas em agosto: 9.308 ainda funcionam — 88%;
- 817 pertencem a empresas identificáveis. Dessas, 768 dão controle total da conta: 526 são chaves root (a chave-mestra da conta inteira) e 242 têm privilégio de administrador;
- A idade média das chaves vazadas: cerca de 5 anos. E 86% nunca foram trocadas desde o vazamento.
O que é uma “chave de acesso” — sem tecnês
Sistemas não digitam senha: eles se autenticam na nuvem com um par de códigos — a chave de acesso. Quem tem a chave é o sistema, com todos os seus poderes. Uma chave root exposta equivale a deixar a chave do cofre, do escritório e do carro da empresa pendurada num mural público — com o endereço junto.
E o mural existe: desenvolvedores colam chaves no código para testar, o código vai para um repositório público, e a chave fica lá — para sempre, indexada e pesquisável. O maior “mural” encontrado pela pesquisa foi a Hugging Face, plataforma de modelos de IA, com 8.482 chaves expostas em datasets e projetos.
Por que “ainda funcionam” é o dado que assusta
Chave vazada não expira sozinha. Ao contrário da senha de um funcionário — que muda quando ele esquece, sai da empresa ou o sistema força a troca — a chave de máquina só morre quando alguém a revoga. Se ninguém sabe que ela vazou, ninguém revoga. Cinco anos depois, ela continua abrindo a porta, e o criminoso que a encontrar não precisa “invadir” nada: ele entra logado, com aparência de tráfego legítimo. As contas verificadas na pesquisa gastaram US$ 420 mil só em julho — imagine esse cartão de crédito nas mãos erradas, minerando criptomoeda na sua fatura.
O checklist para a sua empresa
- Procure chaves no seu próprio código — hoje. Ferramentas gratuitas de secret scanning (o TruffleHog, dos próprios pesquisadores, o GitGuardian e o scanner nativo do GitHub) varrem repositórios e histórico. O histórico importa: chave apagada do código continua no Git.
- Rotacione credenciais em calendário fixo. Chave de acesso deve trocar como extintor vence: em data marcada, não “quando der problema”.
- Aposente a chave root. Ela não deveria existir em uso cotidiano — crie credenciais mínimas por função (princípio do menor privilégio) e guarde a root com MFA, trancada.
- Monitore o uso das credenciais. Alerta de uso em região estranha ou serviço nunca antes acessado transforma um vazamento de 5 anos num incidente de 5 minutos.
A moral da pesquisa cabe numa frase: a nuvem não vaza — a gente é que esquece a torneira aberta. E torneira esquecida, ao contrário de invasão, é 100% prevenível.
Fontes
- Truffle Security — 768 Leaked Corporate AWS Keys Held Full Admin Rights (pesquisa original): trufflesecurity.com
- BleepingComputer — Hundreds of leaked AWS keys give full control over corporate accounts: bleepingcomputer.com
