Wiz · 9 novembre 2026 · Cyber & GRC
Qubole : des accès entre comptes AWS exploités dans des attaques
Un acteur malveillant a utilisé des identifiants IAM du compte AWS de Qubole pour assumer des rôles d’intégration dans les environnements AWS de clients. Wiz présente ses observations et des pistes pour rechercher les traces de cette activité.
Ce qui est annoncé
Wiz publie une enquête sur des intrusions dans plusieurs environnements AWS, menée avec Sentra et Mandiant. Entre le 14 et le 26 octobre 2026, un attaquant a utilisé des identifiants IAM provenant d’un compte AWS associé à Qubole pour endosser des rôles d’intégration créés par des clients. Ces rôles autorisaient le compte du fournisseur à intervenir dans leurs environnements. L’attaquant a inventorié des ressources, récupéré des configurations et des secrets, puis extrait des données depuis S3.
Les relations de confiance restées actives ont permis ces accès, y compris pour des rôles majoritairement inutilisés. Toutes les demandes attribuées à l’attaquant comportaient un External ID et ont abouti. Des identifiants découverts chez les victimes ont ensuite été testés avec TruffleHog, notamment pour AWS, Entra ID et Okta. Wiz décrit une collecte apparemment opportuniste, sans pouvoir établir la motivation de l’acteur. L’enquête signale aussi une activité distincte utilisant des clés AWS appartenant à des clients, sans lien démontré avec ces prises de rôle.
Ce que ça change pour les entreprises
Pour les DSI, cette enquête souligne qu’une intégration abandonnée peut conserver un accès effectif au cloud si sa relation de confiance subsiste. Wiz recommande de recenser les rôles ouverts à des comptes externes, de supprimer les accès devenus inutiles et de limiter leurs permissions. Lorsque le fournisseur le permet, restreindre l’identité autorisée et les réseaux d’origine peut renforcer le contrôle. L’External ID, présent en clair dans CloudTrail, ne doit pas être considéré comme un secret ni constituer l’unique protection.
La capacité d’investigation dépend également des journaux disponibles. Les événements de gestion CloudTrail ne montrent pas les lectures d’objets S3 : des événements de données ou des journaux d’accès S3 sont nécessaires pour examiner ces opérations. En cas de prise de rôle malveillante, Wiz préconise de renouveler les secrets accessibles et de révoquer les sessions actives, car le renouvellement des identifiants ne met pas fin aux sessions temporaires déjà délivrées.
Comment UNEETY peut vous accompagner
Une ESN comme UNEETY peut accompagner le cadrage d’une revue des intégrations tierces, l’analyse des permissions et la sécurisation des relations de confiance. Cet accompagnement peut aussi porter sur la journalisation et l’adoption de procédures de surveillance et de réponse adaptées aux équipes IT.
Découvrez notre offre Cyber & GRC ou contactez-nous.
Source : annonce Wiz du 9 novembre 2026.