9.308 Kunci AWS yang Terungkap ke Publik Ternyata Masih Bisa Dipakai

Riset Truffle Security pada Agustus 2026 menunjukkan bahwa kebocoran kredensial cloud bukan hanya masalah jumlah, tetapi juga soal berapa lama akses tersebut tetap terbuka.

Dalam penelusuran terhadap repositori publik, riwayat Git, dataset, image Docker, container registry, dan log continuous integration, peneliti mencatat 431.875 temuan rahasia AWS antara Agustus 2022 hingga Agustus 2026. Setelah data dideduplikasi dan diverifikasi, jumlahnya menjadi 64.024 kunci AWS unik. 145

Dari 10.616 pasangan kredensial lengkap yang diuji ulang pada 10 Agustus 2026, sebanyak 9.308—sekitar 88%—masih berhasil melakukan autentikasi. Angka ini hanya berlaku untuk pasangan kredensial lengkap yang dapat diuji, bukan seluruh temuan publik atau potongan rahasia yang ditemukan. 145

Kredensial berhak istimewa ikut terekspos

Kumpulan kunci terverifikasi tersebut terdiri atas 10.625 kredensial root, 48.744 kunci pengguna IAM, dan 4.655 kunci yang tidak dapat diklasifikasikan. Kredensial root mencakup 16,6% dari seluruh kunci unik. 1

Truffle Security mengidentifikasi 817 kunci aktif yang terhubung dengan perusahaan. Di antaranya terdapat:

• 526 kunci root, jenis kredensial dengan hak akses tertinggi dalam akun AWS.
• 242 kunci pengguna IAM dengan kebijakan AdministratorAccess, yang dapat memberikan kendali penuh atas akun.
• 768 kredensial secara keseluruhan yang berpotensi memberi penyerang kendali penuh atas akun AWS perusahaan.
• 130 kunci root aktif untuk akun manajemen AWS Organizations, yang komprominya berpotensi berdampak pada akun-akun anggota dalam satu organisasi. 13

Dalam kelompok pengguna IAM yang kebijakannya dapat dibaca, 976 dari 1.157 pengguna—84%—memiliki AdministratorAccess. Sebanyak 144 lainnya memiliki IAMFullAccess. Truffle mengingatkan bahwa angka ini bersifat indikatif karena pengguna yang memungkinkan enumerasi kebijakan belum tentu mewakili seluruh pengguna IAM yang kredensialnya bocor. 1

Jumlah akun yang terdampak memakai cakupan berbeda

Materi pelaporan yang tersedia mencantumkan dua angka untuk jumlah akun AWS. Salah satu ringkasan menyebut kumpulan 64.024 kunci tersebut mencakup 9.945 akun AWS berbeda, sedangkan ringkasan laporan sumber menyebut 50.654 akun AWS berbeda. Materi yang diberikan tidak menjelaskan penyebab perbedaan ini, sehingga kedua angka tersebut tidak boleh dianggap saling menggantikan. 1

Namun, gambaran risikonya tetap jelas: ratusan kredensial aktif terhubung dengan perusahaan, dan 768 di antaranya dapat memberikan kendali penuh atas akun AWS korporat. 13

Hugging Face menjadi sumber tunggal terbesar

Hugging Face menyumbang 8.482 kunci AWS unik yang masih aktif dari 3.394 dataset publik, menjadikannya sumber tunggal terbesar dalam peninjauan tersebut. Kredensial root mencakup 17,9% dari kunci di kelompok ini—proporsi root tertinggi di antara sumber yang dilacak. 125

Risiko ini diperbesar oleh cara materi kode publik digunakan kembali. Snapshot kode yang berisi rahasia dapat disalin ke dataset pelatihan, lalu didistribusikan kembali melalui berbagai dataset turunan. Karena itu, menghapus kredensial dari repositori asal tidak menjamin semua salinannya ikut hilang. 1

Temuan yang berfokus pada AWS ini merupakan bagian dari pemindaian Hugging Face yang lebih luas. Truffle Security mengatakan telah memindai 7,6 petabita data dan 187 juta file, lalu menemukan 221.303 kredensial unik yang masih aktif dalam 6.003 dataset. Angka tersebut mencakup semua jenis kredensial, bukan hanya kunci AWS. 6

Banyak kunci sudah berusia bertahun-tahun dan tidak dirotasi

Dari 2.903 kunci aktif yang tanggal pembuatannya dapat dibaca, usia median mencapai 1.831 hari—kira-kira lima tahun. Separuh kunci berusia lebih dari lima tahun, kunci tertua berusia 17,4 tahun, dan hanya 25 kunci atau 0,9% yang dibuat dalam 30 hari terakhir. 1

Hanya 398 dari 2.903 kunci tersebut—13,7%—yang memiliki kunci pengganti lebih baru. Temuan ini mengindikasikan bahwa sebagian besar kunci belum dirotasi, digantikan, atau dibersihkan setelah terekspos. 1

Pelajaran praktisnya sederhana: rahasia yang pernah muncul di materi publik harus dianggap telah terkompromi secara permanen, meskipun file atau entri repositori asal sudah diedit. Riwayat Git, image container, artefak paket, dan dataset publik dapat menyimpan salinan sebelumnya. 1

Minimnya peringatan anggaran memperbesar risiko cryptomining

Kontrol anggaran juga jarang ditemukan. Dari 2.754 akun yang pengaturannya dapat dibaca, hanya 262 akun—9,5%—yang memiliki peringatan anggaran. Nilai ambang median yang dikonfigurasi adalah 8 dolar AS. 12

Artinya, 90,5% akun yang dapat dibaca tidak memiliki alarm anggaran yang terdeteksi. Penyerang dengan kredensial yang masih berlaku dapat memanfaatkan komputasi cloud untuk cryptomining atau beban kerja lain sebelum organisasi menyadari lonjakan biaya. 12

Akun-akun yang data pengeluarannya dapat dibaca mencatat total pengeluaran 420.631 dolar AS pada Juli 2026. Sebanyak 50 akun menghabiskan lebih dari 1.000 dolar AS, sementara sembilan akun menghabiskan lebih dari 10.000 dolar AS pada bulan tersebut. Angka ini menggambarkan akun yang diamati dan tidak membuktikan bahwa pengeluaran tersebut disebabkan penyalahgunaan kredensial. 1

Kebijakan karantina AWS tidak selalu langsung menonaktifkan kunci

Truffle Security melaporkan bahwa AWS terlihat memasang kebijakan AWSCompromisedKeyQuarantine pada kunci IAM yang terdeteksi terekspos. Kebijakan ini membatasi kemampuan kunci, tetapi tidak selalu langsung menonaktifkan proses autentikasi. 1

Di antara kunci IAM aktif yang diperiksa, 929 dari 7.590 kunci—12%—memiliki kebijakan tersebut. Sebanyak 112 kunci lainnya memiliki versi lama yang tidak lagi diterapkan AWS sejak 2023. Temuan Truffle menunjukkan bahwa sebagian kunci masih dapat digunakan meski telah lama menerima notifikasi paparan. 1

Karena itu, kebijakan karantina sebaiknya dipandang sebagai sinyal bahwa kredensial telah terekspos, bukan bukti bahwa rahasia tersebut sudah aman dan tidak berlaku. Organisasi perlu menyelidiki kunci, mengidentifikasi pemilik serta hak aksesnya, kemudian mencabut atau merotasinya. 1

Cara peneliti menguji kredensial

Truffle mengatakan hanya menguji ulang pasangan kredensial yang materialnya lengkap. Untuk menganalisis akun dan hak akses, peneliti menggunakan panggilan IAM read-only, menguji satu kunci pada satu waktu, tidak memublikasikan material kunci, dan memberi tahu setiap pemilik yang berhasil mereka identifikasi. 15

Metodologi ini penting saat membaca angka 88%: persentase tersebut berlaku untuk subset pasangan kredensial lengkap yang diuji ulang, bukan seluruh temuan publik atau semua rahasia parsial yang ditemukan dalam pemindaian. 14

Langkah yang perlu dilakukan organisasi

Temuan ini mendukung sejumlah langkah respons insiden yang relatif jelas:

1. Hapus kunci akses root. Truffle menilai kunci root tidak memiliki penggunaan operasional yang sah. 1
2. Inventarisasi seluruh kunci akses IAM, termasuk yang tersimpan di repositori, riwayat Git, log CI, image, registry, dan dataset publik. 1
3. Cabut atau rotasi kredensial yang terekspos segera. Menghapus salinan yang terlihat saja tidak cukup jika rahasia masih tersimpan dalam artefak historis atau turunan. 1
4. Tetapkan usia maksimum kunci dan wajibkan rotasi. Kredensial lama yang tidak digunakan sebaiknya dihapus, bukan dibiarkan aktif tanpa batas waktu. 1
5. Konfigurasikan peringatan anggaran. Ambang rendah, misalnya 10 dolar AS, tetap dapat menjadi peringatan awal atas pengeluaran tidak sah. 1
6. Pantau AWSCompromisedKeyQuarantine dan selidiki kebijakan tersebut sebagai indikasi bahwa kredensial mungkin telah terekspos. 1
7. Gunakan pemindaian rahasia secara berkelanjutan di source code, riwayat, sistem build, artefak container, registry, dan dataset yang dipublikasikan. 1

Peringatan utama dari riset ini adalah bahwa paparan publik bukanlah kebocoran sesaat. Tanpa pencabutan, rotasi, dan pemantauan, satu kredensial AWS dapat tetap menjadi pintu masuk yang berfungsi ke infrastruktur cloud selama bertahun-tahun.