逾 9,300 組 AWS 金鑰外洩四年未失效　768 組恐可完全掌控企業雲端帳戶

資安研究公司 Truffle Security 近期發布報告指出，過去四年間（2022 年 8 月至 2026 年 8 月），研究團隊持續追蹤到逾 9,300 組已公開外洩的 AWS存取金鑰，且多數至今仍有效。

分析顯示，其中 817 組與特定企業有關；526 組為根金鑰（Root Key）；另有 242 組綁定具備管理員完整存取（AdministratorAccess）政策權限的身分與存取管理（IAM）使用者。Truffle Security 警告，這 768 組金鑰只要任一組落入有心人士手中，都可能使相關企業的 AWS 帳戶遭到完全掌控。

外洩規模與驗證結果

Truffle Security 在程式碼儲存庫、Git 歷史紀錄、資料集、Docker 映像檔、容器登錄庫與 CI（持續整合，Continuous Integration）日誌等來源中，共找到 431,875 筆 AWS 機密資訊，整理後萃取出 64,024 組不重複金鑰，對應 50,654 個 AWS 帳戶。在具備完整憑證可供重新驗證的 10,616 組金鑰中，截至 8 月 10 日仍有 88% 可正常通過身分驗證。

高風險金鑰的潛在危害

研究團隊指出，攻擊者一旦掌握具完整權限的 AWS 金鑰，便可能存取、竊取甚至清除雲端資料，接管伺服器與應用程式，並建立具持久性的惡意管理員帳戶。攻擊者也可能利用外洩金鑰部署加密貨幣挖礦程式，使企業承擔高額雲端費用。Truffle Security 也發現，在可讀取設定的 2,754 個帳戶中，僅 262 個設有預算警示機制。

Hugging Face 成外洩重災區

在所有外洩來源中，AI 模型與資料集分享平台 Hugging Face 的外洩量居冠，共有 8,482 組不重複金鑰經由該平台曝光，其中 17.9% 為權限不受 IAM 限制的根金鑰。

在具備建立時間紀錄的 2,903 組金鑰中，存續時間中位數為 1,831 天，約五年；最久的一組已存在 17.4 年。其中僅 398 組（13.7%）曾更換為新金鑰，顯示絕大多數外洩金鑰自建立以來從未輪替（Rotate）。

AWS 回應與因應建議

針對此次調查結果，AWS 發言人向外媒表示，公司一旦得知金鑰外洩，便會通知受影響客戶，並徹底調查每一起通報案件，視情況採取隔離等必要措施；同時也強調雲端安全採「共同責任模式」，呼籲客戶遵循相關安全與合規最佳實務。如懷疑憑證外洩，可參考官方文件處理，或聯繫 AWS 支援團隊。

Truffle Security 則建議企業刪除所有根存取金鑰，並依建立時間定期盤點 IAM 憑證，將已外洩或有疑慮的金鑰立即輪替或撤銷，同時建立預算警示機制，以便及早發現異常用量。研究團隊強調，任何曾提交至公開來源的憑證都應視為已遭洩露，必須立即處理。Truffle Security 也說明，其測試僅限於唯讀的中繼資料，並已通知所有可辨識身分的金鑰所有者。

本文轉載自BleepingComputer。