Tisíce uniklých klíčů AWS zůstaly aktivní i několik let po zveřejnění

Výzkum společnosti Truffle Security z srpna 2026 ukazuje, že úniky cloudových přihlašovacích údajů nejsou jen otázkou okamžiku zveřejnění. V repozitářích, historii Git, datasetech, Docker obrazech, registrech kontejnerů a logách systémů pro průběžnou integraci (CI) výzkumníci mezi srpnem 2022 a srpnem 2026 zaznamenali 431 875 nálezů tajných údajů AWS. Po odstranění duplicit a ověření zůstalo 64 024 unikátních klíčů AWS. 145

Nejzávažnější nebyl samotný počet odhalených údajů, ale jejich přetrvávající funkčnost. Z 10 616 kompletních párů přihlašovacích údajů, které bylo možné otestovat 10. srpna 2026, jich 9 308 — přibližně 88 % — stále úspěšně prošlo autentizací. 145

Mezi uniklými klíči byly i účty s nejvyššími oprávněními

Ověřený soubor zahrnoval 10 625 přihlašovacích údajů kořenových účtů (root), 48 744 klíčů uživatelů IAM a 4 655 klíčů, které nebylo možné zařadit. Kořenové údaje tvořily 16,6 % unikátních klíčů. 1

Truffle Security identifikovala 817 aktivních klíčů spojených s firmami. Z nich šlo o:

• 526 root klíčů, tedy přihlašovacích údajů s nejvyšší úrovní oprávnění v účtu AWS;
• 242 klíčů uživatelů IAM s politikou AdministratorAccess, která může poskytovat úplnou kontrolu nad účtem;
• 768 přihlašovacích údajů celkem, jež mohly útočníkovi umožnit plnou kontrolu nad firemním účtem AWS;
• 130 aktivních root klíčů patřících k řídicím účtům AWS Organizations, jejichž kompromitace by potenciálně mohla zasáhnout i členské účty celé organizace. 13

V užší skupině uživatelů IAM, u nichž bylo možné vypsat přidělené politiky, jich 976 z 1 157 čitelných — tedy 84 % — mělo AdministratorAccess. Dalších 144 disponovalo IAMFullAccess. Truffle Security upozornila, že jde pouze o orientační údaj: uživatelé, u nichž bylo možné politiky vypsat, nemusí reprezentovat všechny uniklé účty IAM. 1

Kolika účtů AWS se problém týkal?

V dostupných podkladech se objevují dva odlišné součty účtů, zřejmě kvůli rozdílnému rozsahu výpočtu. Jedno shrnutí uvádí, že 64 024 klíčů pocházelo z 9 945 různých účtů AWS, zatímco souhrn původní zprávy hovoří o 50 654 různých účtech AWS. Poskytnuté materiály nevysvětlují, proč se čísla liší, a nelze je proto zaměňovat. 1

Rozsah rizika na úrovni firemních účtů je nicméně zřejmý: stovky aktivních přihlašovacích údajů byly spojeny s podniky a 768 z nich mohlo poskytnout úplnou kontrolu nad firemním účtem AWS. 13

Největším jednotlivým zdrojem byl Hugging Face

Platforma Hugging Face představovala největší samostatný zdroj. Výzkumníci v jejích 3 394 veřejných datasetech našli 8 482 unikátních živých klíčů AWS. Root údaje tvořily 17,9 % z nich, což byl nejvyšší podíl kořenových klíčů mezi sledovanými zdroji. 125

Problém zhoršuje způsob, jakým se veřejný kód dále kopíruje a zpracovává. Výřezy kódu obsahující tajné údaje mohou být převzaty do trénovacích datasetů a následně distribuovány v dalších datasetech. Odstranění klíče z původního repozitáře proto neznamená, že zmizely všechny jeho kopie. 1

Tento výsledek zaměřený na AWS je součástí širšího skenu Hugging Face. Truffle Security uvádí, že prošla 7,6 petabajtu dat a 187 milionů souborů a našla 221 303 živých unikátních přihlašovacích údajů v 6 003 datasetech. Tato čísla zahrnují všechny typy přihlašovacích údajů, nikoli pouze klíče AWS. 6

Mnohé klíče byly staré roky a nikdo je nevyměnil

U 2 903 aktivních klíčů, u nichž bylo možné zjistit datum vytvoření, činil medián stáří 1 831 dní — přibližně pět let. Polovina z nich byla starší než pět let, nejstarší měl 17,4 roku a pouze 25 klíčů, tedy 0,9 %, vzniklo během předchozích 30 dní. 1

Novější náhradní klíč mělo jen 398 z těchto 2 903 klíčů, tedy 13,7 %. To naznačuje, že většina z nich nebyla po odhalení vyměněna, nahrazena ani odstraněna. 1

Praktický závěr je jednoduchý: tajný údaj, který se objevil ve veřejném materiálu, je třeba považovat za trvale kompromitovaný — i když byl původní soubor nebo záznam v repozitáři později upraven. Starší kopie mohou zůstat v historii Git, obrazech kontejnerů, balíčcích nebo veřejných datasetech. 1

Chybějící rozpočtová upozornění zvyšovala riziko těžby kryptoměn

Rozpočtové kontroly byly podle zjištění spíše výjimkou. Z 2 754 účtů, u nichž bylo možné přečíst nastavení, mělo jakékoli rozpočtové upozornění pouze 262 účtů — 9,5 %. Medián nastaveného limitu činil 8 dolarů. 12

U 90,5 % čitelných účtů tedy nebyl zjištěn žádný rozpočtový alarm. Útočník s použitelnými přihlašovacími údaji by mohl cloudový výpočetní výkon využít například k těžbě kryptoměn nebo k jiným náročným úlohám dříve, než si organizace všimne neobvyklých výdajů. 12

Účty, u nichž bylo možné přečíst údaje o výdajích, utratily dohromady v červenci 2026 celkem 420 631 dolarů. Padesát z nich překročilo měsíční útratu 1 000 dolarů a devět překročilo 10 000 dolarů. Tato čísla popisují sledované účty, neprokazují však, že výdaje způsobil útok nebo zneužití přihlašovacích údajů. 1

Karanténa AWS nemusela znamenat okamžité zneplatnění klíče

Truffle Security uvedla, že u odhalených klíčů IAM pozorovala připojení politiky AWSCompromisedKeyQuarantine. Ta omezuje možnosti použití zjištěného klíče, nemusí však okamžitě znemožnit samotnou autentizaci. 1

Z aktivních klíčů IAM, které výzkumníci zkoumali, jich 929 ze 7 590 — 12 % — tuto politiku mělo. Dalších 112 neslo její starší verzi, kterou AWS přestala v roce 2023 uplatňovat. Zjištění Truffle Security tak naznačují, že některé klíče zůstaly použitelné i po dlouhodobém upozornění na jejich zveřejnění. 1

Karanténní politiku proto nelze považovat za důkaz, že je tajný údaj bezpečně vyřazen. Organizace by měly klíč prověřit, zjistit jeho vlastníka a rozsah oprávnění a následně jej odvolat nebo vyměnit. 1

Jak výzkumníci klíče testovali

Truffle Security uvedla, že znovu ověřovala pouze páry přihlašovacích údajů, k nimž měla kompletní materiál. Pro analýzu účtu a oprávnění používala u jednotlivých klíčů postupně volání IAM pouze pro čtení, samotné klíče nezveřejňovala a informovala každého vlastníka, kterého dokázala identifikovat. 15

Na metodice záleží i při interpretaci údaje 88 %. Toto procento se vztahuje jen na podskupinu kompletních párů, které bylo možné znovu otestovat, nikoli na všechny veřejně nalezené údaje nebo na každý neúplný tajný údaj zachycený při skenu. 14

Co by měly organizace udělat

Výsledky podporují několik základních kroků reakce na incident:

1. Odstranit root přístupové klíče. Truffle Security tvrdí, že pro běžný provoz nemají legitimní využití. 1
2. Zmapovat všechny přístupové klíče IAM, včetně těch v repozitářích, historii Git, CI logách, obrazech a registrech kontejnerů i zveřejněných datasetech. 1
3. Okamžitě odvolat nebo vyměnit odhalené údaje. Smazání viditelné kopie nestačí, pokud tajný údaj zůstal v historických nebo odvozených materiálech. 1
4. Stanovit maximální stáří klíčů a vynutit jejich pravidelnou výměnu. Staré a nepoužívané údaje je lepší odstranit, než je nechat neomezeně aktivní. 1
5. Nastavit rozpočtová upozornění. I nízký limit, například 10 dolarů, může včas upozornit na neoprávněné výdaje. 1
6. Sledovat politiku AWSCompromisedKeyQuarantine a prověřit ji jako signál možného odhalení přihlašovacího údaje. 1
7. Používat průběžné skenování tajných údajů napříč zdrojovým kódem, historií, sestavovacími systémy, kontejnery, registry a zveřejněnými datasety. 1

Hlavní varování výzkumu zní, že zveřejnění tajného údaje není jednorázový únik. Bez odvolání, výměny a průběžného monitorování může klíč AWS zůstat funkční vstupní cestou do cloudové infrastruktury i několik let.