Qubole 供应链攻击：一把厂商密钥，十余家客户云数据被拉走

数据安全公司 Sentra 发文披露一起针对大数据平台 Qubole 客户的供应链攻击。据其说法，受影响的 Qubole 客户有数十家，其中超过十几家组织被入侵。攻击者拿到了 Qubole 自己的凭据，再用各公司早先授予 Qubole 的访问权限，把数据一家家拉走，没有直接攻击任何一家客户。

攻击是怎么走通的

图：被盗的 Qubole 密钥通过各公司授予 Qubole 的 IAM 跨账号信任到达客户数据。来源：Sentra

这些公司按 AWS 推荐的做法配置了 Qubole 集成，包括要求厂商出示 ExternalId 校验码。Sentra 称，攻击者每次都给出了正确的校验码，在 AWS 看来，对方就是 Qubole。这些活动全部来自租用的 OVH 服务器和 Mullvad VPN，同一时段没有任何 Qubole 自身网络的正常活动。

时间线上，攻击者先用被盗凭据测试一个低价值的 Qubole 角色，首次窃取了数千份客户资料文件；随后几分钟内进入所有信任 Qubole 的角色，开始在后台持续数天的批量下载；最后换了一个 VPN 地址，拉取了生产数据库备份，然后沉寂，信任关系仍在，访问权限始终没丢。

几个数字

• 每个 Qubole 信任角色，攻击者约 1 秒就能完成角色扮演，在公司之间几乎瞬间切换。
• 7 分钟内读取约 100 个密码和密钥，来源有三处存放位置。
• 全程 0 次写操作，只窃取、不改动、不删除，因此更难被发现。
• Qubole 的这些角色自春季起已处于休眠状态，攻击发生时才被重新启用。

怎么被发现的

Sentra 先把泄露样本与自己已扫描的数据比对，几小时内缩小到少数几个 S3 存储桶，再把范围收窄到能读这些桶的外部身份，Qubole 在其中最突出。Sentra 把线索报给了 Wiz，Wiz 联合 Sentra 和 Mandiant 展开调查，并发布了研究报告《Trusted by Default: Qubole Cross-Account Access Abused in the Wild》。

文中给出的防御思路是两点：用零信任把每个厂商的权限限制在其确实需要的数据范围；用数据检测与响应（DDR）监控每个身份实际如何使用数据，在受信身份行为异常时及时报警。

接下来看什么

Sentra 配图中受影响公司以"Company 1 至 n"匿名呈现，具体名单、Qubole 方面的回应以及完整技术细节，需要查阅 Wiz 的研究报告确认。