AWS, Azure i Google Cloud na celowniku. Nowa technika ataku wykorzystuje błędy konfiguracji

Eksperci z zespołu Unit 42, należącego do Palo Alto Networks, zidentyfikowali nową metodę ataku o nazwie bucket hijacking. Wykorzystuje ona luki w ustawieniach najpopularniejszych platform chmurowych, takich jak AWS, Azure czy Google Cloud, umożliwiając cyberprzestępcom przejęcie firmowych informacji bez łamania haseł.

Mechanizm przejęcia i unikalnych nazw

Technika bucket hijacking bazuje na specyfice działania usług przechowywania danych, gdzie kontenery zwane bucketami muszą posiadać unikalne nazwy w obrębie całej platformy. Zagrożenie pojawia się w momencie, gdy organizacja usunie dany zasób, ale nie wyłączy procesów, które automatycznie przesyłają do niego informacje. Atakujący może wówczas założyć własny kontener o identycznej nazwie, przejmując strumień danych, które wciąż są wysyłane przez systemy ofiary. W ten sposób do rąk niepowołanych osób trafiają logi systemowe, kopie zapasowe czy dane telemetryczne, a wszystko to dzieje się przy zachowaniu pozornie poprawnej konfiguracji po stronie poszkodowanej firmy.

Rosnące ryzyko błędnych uprawnień

Skala problemu jest znacząca, biorąc pod uwagę, że według danych GUS z płatnych usług chmurowych korzysta już 55,3% polskich przedsiębiorstw. Współczesne incydenty rzadko wynikają z przełamywania skomplikowanych zabezpieczeń technicznych, a znacznie częściej z niedopatrzeń w zarządzaniu dostępem i tożsamością. Raport Global Incident Response 2026 wskazuje, że słabości w tym obszarze odegrały kluczową rolę w niemal 90% przeanalizowanych zdarzeń. Jak zauważa Tomasz Pietrzyk, dyrektor techniczny w Palo Alto Networks w Europie Środkowo-Wschodniej: To odkrycie pokazuje, że bezpieczeństwo środowisk chmurowych zależy dziś nie tylko od wykorzystywanych technologii, ale przede wszystkim od sposobu ich konfiguracji oraz zarządzania dostępem.

Jak zabezpieczyć zasoby przed przejęciem

Mimo że dotychczas nie odnotowano przypadków masowego wykorzystania tej techniki w rzeczywistych atakach, specjaliści zalecają natychmiastową weryfikację procedur. Kluczowe jest regularne audytowanie aktywnych zasobów oraz rygorystyczne stosowanie zasady minimalnych uprawnień, która ogranicza dostęp do danych tylko do niezbędnego poziomu. Organizacje powinny monitorować wszelkie zmiany dotyczące kluczowych kontenerów i dbać o to, by automatyczne procesy przesyłu były przerywane wraz z usuwaniem miejsc docelowych. Tomasz Pietrzyk dodaje, że w procesie tym mogą pomagać nowoczesne systemy oparte na sztucznej inteligencji, takie jak platforma Cortex, która pozwala szybciej wykrywać nietypowe anomalie w ruchu sieciowym i sprawnie reagować na zagrożenia.