คีย์ AWS ที่รั่วไหลสู่สาธารณะกว่า 9,300 รายการยังใช้งานได้จริง

ผลการวิจัยของ Truffle Security ซึ่งเผยแพร่ในเดือนสิงหาคม 2026 ชี้ให้เห็นว่า ปัญหาคีย์เข้าถึงระบบคลาวด์รั่วไหลไม่ได้มีแค่จำนวนมาก แต่ยังคงอยู่เป็นเวลานานด้วย

นักวิจัยพบข้อมูลลับ AWS จำนวน 431,875 รายการจากแหล่งข้อมูลสาธารณะระหว่างเดือนสิงหาคม 2022 ถึงสิงหาคม 2026 ครอบคลุมรีโพสซิทอรีสาธารณะ ประวัติ Git ชุดข้อมูล อิมเมจ Docker รีจิสทรีคอนเทนเนอร์ และล็อกระบบ Continuous Integration (CI) เมื่อนำข้อมูลซ้ำออกและตรวจสอบแล้ว เหลือคีย์ AWS ที่ไม่ซ้ำกัน 64,024 รายการ 145

ประเด็นที่น่ากังวลที่สุดคือคีย์จำนวนมากยังใช้ได้จริง โดยคีย์คู่ที่มีข้อมูลรับรองครบถ้วน 9,308 จาก 10,616 รายการ หรือประมาณ 88% สามารถยืนยันตัวตนสำเร็จในการทดสอบเมื่อวันที่ 10 สิงหาคม 2026 145

คีย์ที่รั่วไหลมีสิทธิ์ระดับสูงจำนวนมาก

ในชุดคีย์ที่ตรวจสอบพบคีย์ root จำนวน 10,625 รายการ คีย์ของผู้ใช้ IAM จำนวน 48,744 รายการ และอีก 4,655 รายการที่ไม่สามารถจัดประเภทได้ คีย์ root คิดเป็น 16.6% ของคีย์ไม่ซ้ำทั้งหมด และเป็นข้อมูลรับรองที่มีสิทธิ์สูงสุดในบัญชี AWS 1

Truffle Security ระบุคีย์ที่ยังใช้งานได้ 817 รายการว่าเชื่อมโยงกับธุรกิจ โดยในจำนวนนี้มี:

• คีย์ root 526 รายการ ซึ่งมีสิทธิ์สูงสุดในบัญชี AWS
• คีย์ผู้ใช้ IAM 242 รายการที่มีนโยบาย AdministratorAccess ซึ่งอาจเปิดทางให้ควบคุมบัญชีได้ทั้งหมด
• ข้อมูลรับรองรวม 768 รายการ ที่อาจทำให้ผู้โจมตีเข้าควบคุมบัญชี AWS ขององค์กรได้อย่างเต็มรูปแบบ
• คีย์ root ที่ใช้งานได้ 130 รายการ สำหรับบัญชีจัดการของ AWS Organizations ซึ่งหากถูกยึดครอง อาจส่งผลกระทบต่อบัญชีสมาชิกหลายบัญชีภายในองค์กร 13

ในกลุ่มย่อยของผู้ใช้ IAM ที่สามารถอ่านนโยบายได้ นักวิจัยพบว่า 976 จาก 1,157 รายการ หรือ 84% มี AdministratorAccess และอีก 144 รายการมี IAMFullAccess อย่างไรก็ตาม Truffle Security ระบุว่าสัดส่วนนี้เป็นเพียงตัวชี้ทิศทาง เพราะผู้ใช้ที่เปิดให้ตรวจสอบนโยบายได้อาจไม่ใช่ตัวแทนของผู้ใช้ IAM ที่รั่วไหลทั้งหมด 1

จำนวนบัญชี AWS ที่ได้รับผลกระทบยังมีตัวเลขต่างกัน

ข้อมูลที่ให้มามีตัวเลขบัญชี AWS สองชุดซึ่งดูเหมือนจะใช้ขอบเขตการนับต่างกัน โดยบทสรุปหนึ่งระบุว่าคีย์ 64,024 รายการครอบคลุมบัญชี AWS ที่ไม่ซ้ำกัน 9,945 บัญชี ขณะที่บทสรุปของรายงานต้นทางระบุ 50,654 บัญชี เนื้อหาที่มีอยู่ไม่ได้อธิบายว่าความแตกต่างเกิดจากอะไร จึงไม่ควรนำตัวเลขทั้งสองมาใช้แทนกัน 1

อย่างไรก็ตาม ภาพรวมความเสี่ยงในระดับองค์กรมีความชัดเจน: มีคีย์ที่ยังใช้งานได้หลายร้อยรายการเชื่อมโยงกับธุรกิจ และ 768 รายการอาจเปิดทางให้ควบคุมบัญชี AWS ขององค์กรได้ทั้งหมด 13

Hugging Face เป็นแหล่งที่พบคีย์มากที่สุด

Hugging Face แพลตฟอร์มสำหรับเผยแพร่โมเดล ชุดข้อมูล และแอปพลิเคชันด้าน AI เป็นแหล่งเดียวที่พบคีย์ AWS ที่ยังใช้งานได้มากที่สุด โดยมีคีย์ไม่ซ้ำกัน 8,482 รายการในชุดข้อมูลสาธารณะ 3,394 ชุด นอกจากนี้ 17.9% ของคีย์เหล่านี้เป็นคีย์ root ซึ่งเป็นสัดส่วนคีย์ root สูงที่สุดเมื่อเทียบกับแหล่งที่ติดตามในการศึกษา 125

ความเสี่ยงเพิ่มขึ้นจากลักษณะการนำโค้ดสาธารณะกลับมาใช้ใหม่ สแนปช็อตของโค้ดที่มีข้อมูลลับอาจถูกนำไปใส่ในชุดข้อมูลสำหรับฝึก AI แล้วกระจายต่อไปยังชุดข้อมูลปลายทางหลายชุด ดังนั้น แม้จะลบคีย์ออกจากรีโพสซิทอรีต้นทาง ก็ไม่ได้หมายความว่าสำเนาทั้งหมดจะหายไป 1

ผลลัพธ์ด้าน AWS นี้เป็นส่วนหนึ่งของการสแกน Hugging Face ในวงกว้างกว่าเดิม โดย Truffle Security ระบุว่าได้สแกนข้อมูลขนาด 7.6 เพตะไบต์และไฟล์ 187 ล้านไฟล์ พบข้อมูลรับรองที่ยังใช้งานได้และไม่ซ้ำกัน 221,303 รายการในชุดข้อมูล 6,003 ชุด ตัวเลขดังกล่าวครอบคลุมข้อมูลรับรองทุกประเภท ไม่ใช่เฉพาะคีย์ AWS 6

คีย์จำนวนมากมีอายุหลายปีและไม่เคยถูกหมุนเวียน

จากคีย์ที่ยังใช้งานได้ 2,903 รายการซึ่งสามารถอ่านวันที่สร้างได้ อายุมัธฐานอยู่ที่ 1,831 วัน หรือประมาณ 5 ปี ครึ่งหนึ่งมีอายุมากกว่า 5 ปี คีย์ที่เก่าที่สุดมีอายุ 17.4 ปี และมีเพียง 25 รายการ หรือ 0.9% ที่ถูกสร้างขึ้นภายใน 30 วันก่อนหน้า 1

มีเพียง 398 จาก 2,903 รายการ หรือ 13.7% ที่พบว่ามีคีย์ใหม่มาแทนที่ ข้อมูลนี้ชี้ว่าคีย์ส่วนใหญ่ไม่ได้ถูกหมุนเวียน ถูกแทนที่ หรือถูกล้างออกหลังจากเกิดการเปิดเผย 1

บทเรียนเชิงปฏิบัติคือ ข้อมูลลับที่เคยปรากฏในสื่อสาธารณะควรถูกถือว่า ถูกเจาะแล้วอย่างถาวร แม้ไฟล์หรือรายการในรีโพสซิทอรีต้นทางจะถูกแก้ไขไปแล้วก็ตาม เพราะประวัติ Git อิมเมจคอนเทนเนอร์ อาร์ติแฟกต์ของแพ็กเกจ และชุดข้อมูลสาธารณะอาจยังเก็บสำเนาเดิมไว้ 1

การขาดการแจ้งเตือนงบประมาณเพิ่มความเสี่ยงการขุดคริปโต

ในบัญชี 2,754 บัญชีที่สามารถอ่านการตั้งค่าได้ มีเพียง 262 บัญชี หรือ 9.5% ที่ตั้งการแจ้งเตือนงบประมาณไว้ ระดับค่าแจ้งเตือนมัธฐานอยู่ที่ 8 ดอลลาร์สหรัฐ 12

นั่นหมายความว่า 90.5% ของบัญชีที่อ่านข้อมูลได้ไม่มีสัญญาณแจ้งเตือนงบประมาณที่ตรวจพบ หากผู้โจมตีมีข้อมูลรับรองที่ใช้งานได้ ก็อาจนำทรัพยากรคลาวด์ไปขุดคริปโตหรือรันงานประมวลผลอื่น ๆ จนเกิดค่าใช้จ่ายผิดปกติก่อนที่องค์กรจะสังเกตเห็น 12

บัญชีที่สามารถอ่านข้อมูลค่าใช้จ่ายได้มีการใช้จ่ายรวม 420,631 ดอลลาร์สหรัฐในเดือนกรกฎาคม 2026 โดย 50 บัญชีใช้จ่ายเกิน 1,000 ดอลลาร์ และ 9 บัญชีใช้จ่ายเกิน 10,000 ดอลลาร์ในเดือนเดียวกัน ทั้งนี้ ตัวเลขดังกล่าวเป็นเพียงค่าใช้จ่ายของบัญชีที่สังเกตได้ และไม่ได้ยืนยันว่าค่าใช้จ่ายเกิดจากการใช้คีย์ในทางมิชอบ 1

นโยบายกักกันของ AWS ไม่ได้แปลว่าคีย์ถูกปิดทันที

Truffle Security รายงานว่า AWS มีการติดนโยบาย AWSCompromisedKeyQuarantine กับคีย์ IAM ที่ตรวจพบว่าอาจถูกเปิดเผย นโยบายนี้จำกัดสิ่งที่คีย์ทำได้ แต่ไม่ได้หมายความว่าจะปิดความสามารถในการยืนยันตัวตนทันทีเสมอไป 1

ในกลุ่มคีย์ IAM ที่ยังใช้งานได้ นักวิจัยพบว่า 929 จาก 7,590 รายการ หรือ 12% มีนโยบายดังกล่าว อีก 112 รายการใช้นโยบายเวอร์ชันเก่าที่ AWS หยุดใช้ในปี 2023 ผลการตรวจสอบบ่งชี้ว่าคีย์บางรายการยังคงใช้งานได้ แม้จะมีการแจ้งเตือนเรื่องการเปิดเผยมานานแล้ว 1

ดังนั้น การพบ AWSCompromisedKeyQuarantine ควรถูกมองว่าเป็นสัญญาณว่าข้อมูลรับรองอาจถูกเปิดเผย ไม่ใช่หลักฐานว่าคีย์ถูกยกเลิกอย่างปลอดภัยแล้ว องค์กรควรตรวจสอบเจ้าของและสิทธิ์ของคีย์ ก่อนเพิกถอนหรือหมุนเวียนคีย์ทันที 1

วิธีที่นักวิจัยทดสอบข้อมูลรับรอง

Truffle Security ระบุว่าได้ทดสอบซ้ำเฉพาะคู่ข้อมูลรับรองที่มีข้อมูลครบถ้วน สำหรับการวิเคราะห์บัญชีและสิทธิ์ นักวิจัยใช้คำสั่ง IAM แบบอ่านอย่างเดียว ตรวจสอบทีละคีย์ ไม่เผยแพร่ข้อมูลคีย์ และแจ้งเจ้าของทุกรายที่สามารถระบุตัวตนได้ 15

รายละเอียดนี้มีความสำคัญต่อการตีความตัวเลข 88% เพราะตัวเลขดังกล่าวใช้กับกลุ่มคู่ข้อมูลรับรองที่มีข้อมูลครบและถูกนำมาทดสอบซ้ำเท่านั้น ไม่ได้หมายถึงข้อมูลที่ค้นพบทั้งหมดหรือข้อมูลลับบางส่วนที่ไม่สมบูรณ์ทุกชิ้น 14

องค์กรควรทำอะไรทันที

ผลการวิจัยสนับสนุนแนวทางรับมือเบื้องต้นดังนี้:

1. ลบคีย์ root ออกจากการใช้งาน Truffle Security ระบุว่าคีย์ root ไม่มีเหตุผลที่เหมาะสมสำหรับการใช้งานเชิงปฏิบัติการทั่วไป 1
2. ทำบัญชีคีย์เข้าถึงของ IAM ทั้งหมด รวมถึงคีย์ในรีโพสซิทอรี ประวัติ Git ล็อก CI อิมเมจ รีจิสทรี และชุดข้อมูลสาธารณะ 1
3. เพิกถอนหรือหมุนเวียนข้อมูลรับรองที่ถูกเปิดเผยทันที การลบสำเนาที่มองเห็นจากจุดต้นทางไม่เพียงพอ หากคีย์ยังอยู่ในประวัติหรืออาร์ติแฟกต์ปลายทาง 1
4. กำหนดอายุสูงสุดของคีย์และบังคับใช้การหมุนเวียน คีย์เก่าหรือไม่ได้ใช้งานควรถูกลบ แทนที่จะปล่อยให้คงอยู่โดยไม่มีกำหนด 1
5. ตั้งการแจ้งเตือนงบประมาณ แม้กำหนดเกณฑ์ต่ำ เช่น 10 ดอลลาร์สหรัฐ ก็ช่วยเตือนการใช้จ่ายที่ไม่ได้รับอนุญาตได้เร็วขึ้น 1
6. ติดตามนโยบาย AWSCompromisedKeyQuarantine และตรวจสอบทุกครั้งที่พบ เพราะอาจเป็นหลักฐานว่าข้อมูลรับรองถูกเปิดเผย 1
7. ใช้ระบบสแกนข้อมูลลับอย่างต่อเนื่อง ครอบคลุมซอร์สโค้ด ประวัติการแก้ไข ระบบบิลด์ อาร์ติแฟกต์คอนเทนเนอร์ รีจิสทรี และชุดข้อมูลที่เผยแพร่ 1

สาระสำคัญจากงานวิจัยนี้คือ การเปิดเผยข้อมูลลับสู่สาธารณะไม่ใช่เหตุการณ์ที่จบลงในครั้งเดียว หากไม่มีการเพิกถอน หมุนเวียน และเฝ้าระวังอย่างจริงจัง คีย์ AWS อาจกลายเป็นประตูที่ยังเปิดใช้งานได้เข้าสู่โครงสร้างพื้นฐานคลาวด์เป็นเวลาหลายปี