Wiz и Sentra 9 ноября раскрыли кражу данных из облачных сред клиентов Qubole — платформы обработки больших данных. По наблюдениям Wiz, с 14 по 26 октября злоумышленник использовал учётные данные связанного с Qubole аккаунта AWS, чтобы входить в среды клиентов. Среди пострадавших были компании, уже прекратившие пользоваться платформой.

При подключении Qubole клиент выдавал ей роль — набор разрешений на работу в своём облаке. Отказ от сервиса эти разрешения не отменял: по данным Sentra, некоторые роли простаивали с весны. Завладев учётными данными поставщика, атакующий получал временный доступ с сохранёнными правами. Дополнительную проверку External ID он тоже проходил: во всех наблюдавшихся Wiz запросах был правильный идентификатор.

Внутри атакующий скачивал данные из хранилищ S3 и собирал ключи и пароли из облачных сервисов. Sentra сообщает о миллионах скачанных файлов у одной компании; это число файлов, а не людей. Подтверждать кражу помогли журналы доступа и обращения к ключам шифрования. Там, где подробного журналирования не было, полный состав похищенного восстановить не удалось.

Как злоумышленник получил исходные учётные данные Qubole, отчёт не раскрывает. Общий объём украденных данных и полный список пострадавших также не установлены. Главная подтверждённая особенность этой атаки — доступ сохранялся у поставщика, которым часть клиентов уже не пользовалась: для входа хватило прежнего доверия между облачными аккаунтами.