Veille menaces / Campagne
Qubole : un attaquant a utilisé l'accès AWS de confiance de la plateforme de données pour lire les secrets et les données de ses clients
Entre le 14 et le 26 octobre 2026, un attaquant a utilisé des identifiants IAM d'un compte AWS associé à Qubole, une plateforme de big data, pour endosser les rôles que les clients lui avaient créés dans leurs propres comptes AWS. Selon Wiz et Sentra, qui ont révélé la campagne le 9 novembre, l'attaquant a lu des secrets, des variables d'environnement Lambda et des paramètres, puis téléchargé des données S3. On ignore comment il a obtenu les identifiants de Qubole, et Qubole n'avait publié aucune déclaration.
- Secteur
- Tech et SaaS
- Point d'entrée
- Fournisseur
- Produit ou fournisseur
- Qubole
- organisations touchées, selon Sentra (qui parle aussi de dizaines de clients)[2]
- 12+
- Comment c'est arrivé
- L'attaquant a appelé AssumeRole depuis le compte AWS de Qubole sur les rôles d'intégration que les clients avaient créés pour Qubole, et chaque requête portait le bon External ID. Beaucoup de ces rôles ne servaient plus. Wiz et Sentra ne disent pas comment l'attaquant a obtenu les identifiants de Qubole ; selon Sentra, l'activité venait d'un serveur loué chez OVH et d'adresses du VPN Mullvad, pas du réseau de Qubole.[1][2][3] Vérifié le 10 nov. 2026
- Ce qui a été volé
- Des valeurs de Secrets Manager et de SSM Parameter Store et des variables d'environnement Lambda, que l'attaquant a fouillées à la recherche d'identifiants (clés AWS, secrets client Entra ID, identifiants client Okta) qu'il a ensuite testés. Il a ensuite téléchargé les données de tous les buckets S3 accessibles au rôle, parfois un bucket entier. Sentra parle de fichiers de profils clients et de sauvegardes de bases de production, et indique que rien n'a été modifié ni supprimé.[1][2] Vérifié le 10 nov. 2026
- Qui est touché
- Les clients de Qubole dont les comptes AWS faisaient encore confiance au compte de Qubole : « plus d'une douzaine d'organisations », et ailleurs « des dizaines de clients de Qubole », selon Sentra. Wiz ne donne pas de nombre. Plusieurs victimes n'avaient pas de journaux d'accès aux données S3, si bien qu'on ne sait pas quels fichiers ont été lus.[1][2] Vérifié le 10 nov. 2026
- Acteur
- Non attribué
Chronologie
- Du 8 au 11 octobre, un acteur utilise des clés d'accès AWS appartenant à des clients, que Wiz pense créées pour des intégrations Qubole, et les teste toutes en une heure le 8 octobre. Dans un petit nombre de cas, il compromet ensuite l'environnement cloud de la victime. Wiz n'a pas relié cette activité à celle sur les rôles. [1]
- Première prise de rôle par l'attaquant depuis le compte AWS de Qubole, depuis une adresse du VPN Mullvad, selon Wiz. À partir du 15 octobre, l'essentiel de l'activité vient d'un serveur OVH. [1]
- Dernière activité observée par Wiz avec les identifiants de Qubole. [1]
- Wiz et Sentra publient leurs analyses ; Sentra dit avoir repéré l'activité et l'avoir signalée à Wiz, qui a enquêté avec Sentra et Mandiant. Selon Wiz, une condition sur l'adresse IP source dans le rôle « aurait bloqué toutes les prises de rôle observées ». Ni Qubole ni son propriétaire Idera n'avaient publié de déclaration, selon The Hacker News. [1][2][3]