Tin tặc khai thác lỗ hổng Qubole để xâm nhập tài khoản AWS khách hàng
"Attackers exploited a misconfiguration in Qubole's AWS access to breach customer accounts between October 14-26, 2026, stealing secrets and data. The attack leveraged the `AssumeRole` functionality with valid External IDs, and also utilized compromised customer AWS access keys. Affected organizations should review CloudTrail logs for suspicious `AssumeRole` requests originating from non-AWS IPs."
Vụ việc cho thấy lỗ hổng cấu hình AWS có thể dẫn đến đánh cắp dữ liệu và xâm nhập tài khoản. Các doanh nghiệp cần tăng cường kiểm soát quyền truy cập.
Sự cố này có thể gây thiệt hại về uy tín và mất mát dữ liệu cho các doanh nghiệp sử dụng Qubole. Việc khắc phục và điều tra sự cố có thể tốn kém chi phí bảo mật.
Qubole bị tin tặc khai thác lỗ hổng cấu hình AWS, xâm nhập tài khoản khách hàng và đánh cắp dữ liệu từ ngày 14 đến 26 tháng 10 năm 2026. Wiz, một công ty bảo mật đám mây, cho biết kẻ tấn công sử dụng chức năng AssumeRole với External ID hợp lệ, đồng thời lợi dụng cả các khóa truy cập AWS của khách hàng bị xâm phạm.
Doanh nghiệp Việt Nam sử dụng Qubole trên AWS cần kiểm tra nhật ký CloudTrail để phát hiện các yêu cầu AssumeRole đáng ngờ từ địa chỉ IP không thuộc AWS. Qubole hoạt động trong tài khoản AWS của khách hàng, yêu cầu tạo một IAM role với quyền truy cập nhất định.
Nhiều role chưa từng được sử dụng vẫn tin cậy tài khoản Qubole, tạo điều kiện cho kẻ tấn công thực hiện yêu cầu thành công. Kẻ tấn công tìm kiếm thông tin xác thực, đọc biến môi trường của Lambda, lấy bí mật từ Secrets Manager và giá trị từ SSM Parameter Store. Sau đó, chúng sử dụng TruffleHog để kiểm tra tính hợp lệ của các khóa truy cập AWS, Entra ID client secrets và Okta client credentials.
Ngoài ra, kẻ tấn công còn sao chép dữ liệu từ S3, tải xuống toàn bộ bucket trong một phiên. Các nhà nghiên cứu chưa liên kết chiến dịch này với bất kỳ hoạt động nào khác đã được công bố, và cho rằng mục tiêu không phù hợp với các nhóm tấn công do nhà nước tài trợ. Qubole cũng cho phép kết nối bằng khóa truy cập AWS, và từ ngày 8 đến 11 tháng 10, kẻ tấn công đã sử dụng khóa truy cập của khách hàng để xâm nhập một số môi trường đám mây.
Wiz khuyến nghị kiểm tra nhật ký CloudTrail từ ngày 1 tháng 10, tìm kiếm các yêu cầu AssumeRole từ tài khoản Qubole (805246085872) từ địa chỉ IP không thuộc AWS. Cần chú ý đến IAM principal ID AIDA3W7DIFLYOLTK63SFS và AIDAJYRRH5Y3A7AAJM2HW (khi nguồn IP ngoài AWS), cũng như các địa chỉ IP 57.129.54[.]120, 2001:41d0:70d[:]7800::, 45.83.220[.]211, 185.209.199[.]73 và 89.37.63[.]175. Các session bắt đầu bằng quiam- cũng cần được kiểm tra.
Câu hỏi thường gặp
Thời gian xảy ra vụ tấn công là khi nào?
Vụ tấn công diễn ra từ ngày 14 đến 26 tháng 10 năm 2026, nhắm vào các tài khoản AWS của khách hàng Qubole.
Kẻ tấn công đã sử dụng phương thức nào để xâm nhập?
Kẻ tấn công sử dụng chức năng AssumeRole với External ID hợp lệ và lợi dụng các khóa truy cập AWS của khách hàng bị xâm phạm.
Doanh nghiệp cần kiểm tra thông tin gì trong CloudTrail logs?
Doanh nghiệp cần kiểm tra các yêu cầu AssumeRole từ tài khoản Qubole (805246085872) từ địa chỉ IP không thuộc AWS, cũng như các IAM principal ID đáng ngờ.
Góc nhìn của Orange Cloud
Theo chúng tôi, sự việc này cho thấy tầm quan trọng của việc kiểm soát quyền truy cập nghiêm ngặt trong môi trường AWS. Các doanh nghiệp Việt Nam nên xem xét lại cấu hình IAM role và hạn chế quyền truy cập chỉ ở mức cần thiết. Điều đáng chú ý là việc thiếu nhật ký S3 data events hoặc server access logs đã cản trở việc xác định dữ liệu bị đánh cắp. Doanh nghiệp nên đảm bảo cấu hình đầy đủ các loại nhật ký này để phục vụ cho việc điều tra sự cố.