Una nueva investigación de seguridad en la nube de Truffle Security ha descubierto que 768 credenciales de AWS expuestas públicamente todavía proporcionan un control administrativo total sobre entornos corporativos de AWS.

Los hallazgos resaltan un fallo persistente en la rotación de credenciales, la gestión de secretos y el monitoreo de cuentas en la nube. Truffle Security volvió a verificar 10,616 pares de credenciales de AWS filtradas el 10 de agosto de 2026, después de localizarlas en fuentes públicas entre agosto de 2022 y agosto de 2026.

Estas fuentes incluyeron el historial de Git, conjuntos de datos de Hugging Face, imágenes de Docker, registros de paquetes y registros de CI/CD. Alrededor del 88% de las credenciales probadas se autenticaron correctamente, lo que demuestra que las claves de la nube expuestas a menudo siguen siendo utilizables mucho tiempo después de su filtración inicial.

De las credenciales activas vinculadas a corporaciones, 526 eran claves de acceso raíz de AWS y 242 pertenecían a usuarios de IAM con la poderosa política de AdministratorAccess. Ambos tipos de credenciales pueden proporcionar, efectivamente, el control completo de una cuenta de AWS.

Las claves raíz son especialmente peligrosas porque no pueden restringirse mediante políticas de IAM y pueden realizar acciones críticas a nivel de cuenta, incluyendo el cambio de configuraciones de seguridad o el cierre de la cuenta.

768 claves corporativas de AWS filtradas permanecen activas

Truffle Security encontró 64,024 pares de claves de AWS únicos en 431,875 hallazgos públicos, incluyendo más de 10,000 credenciales raíz. La mediana de edad de la clave filtrada era de cinco años, siendo la más antigua de hace 17.4 años.

La rotación de credenciales también era poco común. Entre 2,903 claves que permitían la enumeración de claves de acceso, solo el 13.7% tenía disponible una clave de reemplazo más reciente. Esto significa que la mayoría de las credenciales expuestas nunca habían sido rotadas, revocadas o eliminadas después de hacerse públicas.

Una clave filtrada no se vuelve segura simplemente porque el archivo original sea eliminado. Los repositorios públicos pueden ser clonados, archivados, indexados, copiados en imágenes de contenedores o incluidos en conjuntos de datos de aprendizaje automático.

La investigación encontró que el 43% de las claves habían aparecido en más de una ubicación, permitiendo que la exposición se extendiera mucho más allá del commit original.

Hugging Face fue la fuente individual más grande de credenciales de AWS expuestas en el conjunto de datos. Los investigadores encontraron 8,482 claves activas únicas en 3,394 conjuntos de datos públicos.

Alrededor del 17.9% de esas claves eran credenciales raíz, la proporción más alta de claves raíz entre las fuentes rastreadas. Muchos conjuntos de datos parecen contener instantáneas de código fuente público empaquetadas para fines de entrenamiento o desarrollo.

Esto crea un problema de exposición a largo plazo: una clave de AWS comprometida accidentalmente hace años puede redistribuirse a través de conjuntos de datos y proyectos derivados, incluso después de haber sido eliminada del repositorio original.

La investigación también encontró un monitoreo débil de los costos de la nube. De 2,754 cuentas de las cuales se pudo leer la información del presupuesto, solo 262, o el 9.5%, tenían configurada una alerta de presupuesto. El presupuesto configurado mediano era de solo 8 dólares.

Aunque el gasto mediano de la cuenta era bajo, 50 cuentas gastaron más de 1,000 dólares en el mes anterior, y 9 gastaron más de 10,000 dólares. Las claves expuestas podrían ser abusadas para el minado de criptomonedas, despliegue de recursos, robo de datos o mayor acceso a entornos de nube.

Deberías eliminar inmediatamente todas las claves de acceso raíz, rotar cualquier clave de IAM que haya sido expuesta o que ya no sea necesaria, y aplicar una edad máxima corta para las claves.

Tu equipo también debería escanear el historial de Git, las imágenes de contenedores, los registros de CI, los registros de paquetes y los conjuntos de datos públicos en lugar de revisar solo el código fuente actual. Las cuentas de AWS deberían utilizar roles de IAM de privilegio mínimo en lugar de claves de acceso de larga duración, especialmente para cargas de trabajo de producción.

Los equipos de seguridad deberían configurar alertas de presupuesto e investigar cualquier usuario de IAM con la política AWSCompromisedKeyQuarantine, lo que puede indicar que AWS ya ha identificado una credencial expuesta.

La investigación coincide con el lanzamiento de TruffleHog AWS Analyze, una capacidad diseñada para identificar a qué puede acceder una credencial de AWS expuesta, incluyendo políticas adjuntas, grupos, roles y relaciones de confianza.