Un atacante utilizó credenciales de una cuenta de Amazon Web Services (AWS) vinculada a Qubole para entrar en entornos de clientes y extraer datos y claves, según una investigación de Wiz. La actividad observada entre el 14 y el 26 de octubre de 2026 aprovechó permisos que todavía autorizaban a la plataforma, incluso en integraciones que ya no se usaban.
Qubole, empresa de Idera, ofrece una plataforma para procesar y analizar datos en la nube. Sentra, la firma de seguridad que detectó actividad sospechosa y alertó a Wiz, afirmó que la campaña afectó a decenas de clientes de Qubole, sin precisar el número. Wiz investigó junto con Sentra y Mandiant.
El informe de Wiz no explica cómo consiguió el atacante las credenciales iniciales. Security Point Break informó que Qubole e Idera no respondieron a sus solicitudes de comentario antes de que publicara su nota el 9 de noviembre.
Los permisos antiguos seguían abiertos
Para conectar Qubole con AWS, un cliente puede crear un rol de gestión de identidades y accesos, o IAM. Ese rol define qué recursos puede consultar el proveedor y establece una relación de confianza con su cuenta. Cuando Qubole necesita trabajar en el entorno del cliente, solicita asumir el rol y obtiene credenciales temporales con los permisos asignados.
Según Wiz, el atacante usó credenciales de la cuenta de AWS asociada con Qubole para hacer esas solicitudes desde fuera de la infraestructura habitual del proveedor. La mayoría de los roles que asumió no tenía otro uso durante la actividad observada, pero sus políticas de confianza seguían vigentes.
En los entornos examinados por Sentra, los roles exigían un identificador externo, conocido como External ID. Wiz indicó que todas las peticiones que atribuyó al atacante presentaron ese dato y fueron aceptadas.
AWS explica que el identificador ayuda a evitar que un tercero induzca al proveedor a usar un rol en nombre del cliente equivocado. La compañía no lo trata como una contraseña: quienes tienen permiso para consultar el rol pueden verlo. En esta campaña, el atacante presentó un identificador aceptado junto con las credenciales de la cuenta de confianza; Wiz no explicó cómo obtuvo esos valores.
Qué datos y credenciales quedaron expuestos
Una vez dentro, el atacante revisó recursos de AWS y buscó secretos en variables de entorno de funciones Lambda, en Secrets Manager y en SSM Parameter Store. Wiz observó que después probó credenciales de las organizaciones afectadas, incluidas claves de AWS y credenciales usadas con Microsoft Entra ID y Okta.
También extrajo información de Amazon S3, el servicio de almacenamiento de objetos de AWS. Según Wiz, el atacante descargó datos de los depósitos a los que cada rol podía acceder y, en algunos casos, copió depósitos completos durante una sola sesión.
Sentra describió una investigación en la que los registros mostraron millones de archivos descargados entre las cuentas de una sola empresa. Esa cifra corresponde a ese caso, no al total de la campaña. La firma también reportó archivos de perfiles de clientes y respaldos de bases de datos entre la información sustraída.
En una actividad separada, del 8 al 11 de octubre, Wiz identificó el uso de claves de AWS pertenecientes a clientes que, según cree, se habían creado para integrar Qubole. Algunos entornos quedaron comprometidos, pero la firma no ha vinculado esa actividad con la campaña que abusó de los roles.
Qué recomienda revisar Wiz
Wiz recomendó a las organizaciones que integraron Qubole revisar los registros de CloudTrail desde el 1 de octubre de 2026 en cada cuenta que tenga un rol de integración. Su informe técnico reúne identificadores de cuentas, nombres de sesiones y direcciones de red para orientar la búsqueda.
Una coincidencia aislada no siempre demuestra una intrusión. Algunas direcciones observadas pertenecen a una VPN compartida y una de las identidades también transporta tráfico legítimo de Qubole, por lo que Wiz aconseja revisar el origen y las acciones posteriores de cada sesión sospechosa.
Si se confirma que un atacante asumió un rol, la firma recomienda renovar los secretos y parámetros que ese rol podía leer y revocar sus sesiones activas. Cambiar una credencial no termina por sí solo las sesiones temporales ya emitidas.
Wiz también aconseja retirar los permisos de integraciones que ya no se necesitan y limitar los accesos restantes al mínimo necesario. Para las integraciones vigentes, propone restringir las identidades o redes autorizadas cuando el proveedor lo permita, en coordinación con él.
Los registros de administración de CloudTrail muestran la asunción del rol y el listado de depósitos, pero no cada archivo leído en S3. Para eso se necesitan eventos de datos de S3 o registros de acceso del servidor; en varios entornos afectados faltaban esos registros y no fue posible identificar todos los objetos consultados.
Sentra observó que la actividad se detuvo en los casos que analizó mientras las relaciones de confianza seguían activas. Los informes no confirman que las credenciales se hayan deshabilitado ni que la vía de acceso haya quedado cerrada para todas las organizaciones.
