استغل مهاجم الوصول الموثوق لـ Qubole إلى AWS لاختراق حسابات العملاء وسرقة البيانات بين 14 أكتوبر و26 أكتوبر 2026. شمل الاختراق استخدام بيانات اعتماد من حساب AWS مرتبط بـ Qubole لتولي أدوار IAM التي أنشأها العملاء.
رقم حساب AWS المستخدم من قبل Qubole لهذه العمليات هو 805246085872. قام المهاجم بالوصول إلى الأسرار والبيانات المخزنة، بما في ذلك مفاتيح الوصول إلى AWS، وأسرار عميل Entra ID، وبيانات اعتماد عميل Okta. حدث تسريب البيانات من دلاء S3 التي يمكن الوصول إليها من خلال الأدوار المفترضة.
حددت Sentra الهجوم من خلال مراقبة نشاط مشبوه عبر عدة بيئات عملاء. استخدم المهاجم في البداية المستخدم IAM AIDA3W7DIFLYOLTK63SFS لمعظم الأنشطة ثم انتقل إلى AIDAJYRRH5Y3A7AAJM2HW.
كل طلب AssumeRole قام به المهاجم تضمن معرف خارجي وتم قبوله بسبب سياسات الثقة الحالية. استخدم المهاجم TruffleHog للتحقق واختبار بيانات الاعتماد المكتشفة.
يُنصح المنظمات التي ربطت Qubole بـ AWS بفحص سجلات CloudTrail للبحث عن طلبات AssumeRole المشبوهة لتحديد الوصول غير المصرح به المحتمل.