攻击者利用Qubole可信的AWS访问权限入侵客户账户并窃取数据

事件经过

攻击者于10月14日至10月26日期间入侵了多家Qubole客户的AWS账户，窃取了其中存储的机密信息和数据，云安全公司Wiz今天表示。Amazon Web Services是一家总部位于西雅图的云计算公司。

攻击者使用了Qubole平台用于访问这些客户的一个AWS账户的凭证。攻击者如何获得这些凭证尚未披露。Swati Khandelwal Nov 09, 2026 云安全 / 数据泄露 攻击者于10月14日至10月26日期间入侵了多家Qubole客户的AWS账户，窃取了其中存储的机密信息和数据，云安全公司Wiz今天表示。

Qubole是由Idera公司拥有的数据湖平台，在其客户的AWS账户内运行。为使其能够接入，客户需要创建一个IAM角色，即一个带有自身权限集合的AWS身份。

该角色的信任策略允许Qubole的AWS账户承担该角色，从而获得相应权限。每次执行此操作的请求，即AssumeRole，都必须包含Qubole提供的一个匹配代码，称为External ID。

Wiz的研究人员表示，除了此次攻击之外，攻击者所承担的大多数角色都处于未使用状态。但每个角色仍然信任Qubole的账户，因此攻击者的请求得以成功。

任何已将Qubole连接到AWS的组织，即使现在已不再使用该服务，也应检查自10月1日起的CloudTrail日志。需要留意的迹象是：来自Qubole平台所用账户805246085872、且来源地址位于AWS之外的AssumeRole请求。