Houston'daki Amazon Web Services ofis binasının cephesinde aws logosu; saldırgan güvenilen bir satıcı erişimiyle müşteri AWS hesaplarına girdi

Bir tehdit aktörü, veri işleme platformu Qubole ile ilişkili AWS hesabına ait IAM kimlik bilgilerini kullanarak 14-26 Ekim 2026 tarihleri arasında müşterilerin bulut ortamlarına girdi. Müşterilerin kendi hesaplarında Qubole erişimi için oluşturduğu IAM rollerini üstlenen (AssumeRole) saldırgan; sırları, parolaları, erişim anahtarlarını ve S3 depolarındaki verileri indirdi.

Bulut güvenliği şirketi Wiz, Sentra ve Mandiant ile birlikte yürüttüğü incelemenin sonuçlarını 9 Kasım 2026'da yayımladı. Birkaç müşteri ortamında şüpheli etkinlik görerek durumu geniş bir tedarik zinciri saldırısı olarak tanımlayan ve Wiz ile paylaşan Sentra, onlarca kuruluşun etkilendiğini doğruladı; tek bir müşteriden milyonlarca dosya çalındığını bildirdi.

Saldırgan içeri nasıl girdi

Kurumsal bulut veri işleme ve analitik platformu Qubole, müşteri AWS kaynaklarını yönetmek için çapraz hesap IAM rolleri kullanıyor. Kurulum sırasında müşteri, kendi hesabında satıcının AWS hesabının üstlenebileceği bir IAM rolü oluşturuyor ve bu rol genellikle «External ID» adlı bir değerle korunuyor. Satıcı bu rolü üstlenerek müşteri hesabında geçici kimlik bilgisi alıyor.

Wiz verilerine göre ilk etkinlik 14 Ekim'de bir Mullvad VPN adresinden görüldü. 15 Ekim'den itibaren etkinliğin çoğu OVH bünyesinde barındırılan bir sanal sunucudan geldi ve saldırgan 18 Ekim'de aynı Qubole hesabındaki ikinci bir IAM kullanıcısını kullanmaya başladı. Saldırgana atfedilen her rol üstlenme isteği doğru «External ID» değerini içerdi ve tamamı başarılı oldu. Wiz, savunma ekipleri için kaynak AWS hesabını (805246085872) ve iki IAM kullanıcı kimliğini paylaştı.

Üstlenilen rollerin çoğu başka bir iş için kullanılmıyordu; Wiz'in incelediği ortamların çoğunda Ekim ayında satıcı hesabından gelen tek rol üstlenme etkinliği saldırgana aitti. Wiz araştırmacıları The Register'a, birçok kuruluşun platformu kullanmayı bıraktıktan sonra da güven politikalarını etkin bıraktığını ve isteklerin bu nedenle başarıya ulaştığını aktardı.

Saldırganın Qubole kimlik bilgilerini nasıl ele geçirdiği açıklanmadı. Wiz, kampanyayı daha önce bildirilen başka bir etkinlikle ilişkilendirmedi; hedeflemenin fırsatçı olduğunu ve tipik devlet destekli önceliklere uymadığını, saldırganın motivasyonunu ve çalınan veriyi nasıl kullanacağını bilmediğini kaydetti.

Hangi sırlar ve veriler çalındı

Müşteri hesaplarına giren saldırgan; S3, EC2, RDS, IAM ve KMS gibi hizmetlerde geniş keşif yaptı. Ardından Lambda işlevlerinin ortam değişkenlerini, AWS Secrets Manager içindeki sırları ve SSM Parameter Store parametrelerini topladı.

Bulunan kimlik bilgileri açık kaynak TruffleHog aracıyla test edildi. Wiz, doğrulanan AWS erişim anahtarları, Microsoft Entra ID istemci sırları ve Okta istemci kimlik bilgilerinin satıcıya değil, etkilenen kuruluşlara ait olduğunu açıkladı.

Saldırgan, rollerin erişebildiği S3 depolarından belirli bir veriyi aramak yerine fırsatçı biçimde veri çekti ve bazı durumlarda bir deponun tamamını tek oturumda indirdi. BleepingComputer, kampanyanın Qubole hesabına güvenecek şekilde yapılandırılmış onlarca şirketi etkilediğini yazdı. Sentra ise saldırganın yedi dakikada 100 parola ve anahtar topladığını belirtti. Wiz, etkilenen kuruluş sayısını açıklamadı.

Ayrı saldırı izleri

Wiz ayrıca 8-11 Ekim arasında ayrı bir etkinlik tespit etti. Qubole entegrasyonları için oluşturulduğu düşünülen ve müşterilere ait olan AWS erişim anahtarları, 8 Ekim'de bir saat içinde topluca denendi; az sayıda vakada kurbanın bulut ortamı ele geçirildi. Wiz bu etkinliği ana kampanyaya bağlayamadı.

Araştırmacılar, saldırganın kontrolündeki sunucuda barındırılan ve uzaktan önyükleme için tasarlandığı düşünülen «sso_agent.iso» adlı bir Linux imajı da buldu. İmajın 90 dakika boyunca komut bekleyip ardından iz bırakmamak üzere sistemi yeniden başlatacak şekilde hazırlandığı görüldü; ancak Wiz bu imajın kullanıldığını doğrulayamadı.

AWS ve Wiz ne diyor

Bir AWS sözcüsü The Register'a yaptığı açıklamada, AWS hizmetlerinin ele geçirilmediğini ve tasarlandığı gibi çalıştığını söyledi; etkinliğin üçüncü taraf bir sağlayıcıyla ilişkili kimlik bilgilerinin bazı AWS müşterilerinin hesaplarına erişmek için kullanılmasını anlattığını belirtti. AWS; çapraz hesap IAM rollerinin düzenli gözden geçirilmesini, kullanılmayan entegrasyonların kaldırılmasını, en az yetki verilmesini ve güven politikalarına kaynak IP kısıtı eklenmesini önerdi.

Wiz ise Qubole entegrasyonu olan kuruluşların 1 Ekim 2026'dan itibaren CloudTrail kayıtlarında 805246085872 hesabından, AWS dışı adreslerden gelen rol üstlenme olaylarını incelemesi gerektiğini bildirdi. Wiz'in paylaştığı öneriler şöyle sıralanıyor:

Türkiye açısından

Olaydan Türkiye'deki kuruluşların etkilendiğine dair bir bilgi bulunmuyor. Yaşanan ihlal, kullanımı bırakılmış bir yazılım hizmetine verilen bulut erişiminin kapatılmadığında açık kapı olarak kalabileceğini gösteriyor; Wiz ve AWS'nin paylaştığı öneriler de bu yönde öne çıkıyor. Türkiye'de kişisel veri içeren benzer bir ihlal yaşanması durumunda olay, KVKK kapsamında Kişisel Verileri Koruma Kurulu'na bildirilir.

Kaynaklar

Kapak görseli: «AWS - Amazon Web Services Office in Houston, Texas», Tony Webster, Wikimedia Commons, CC BY 2.0 (kırpıldı, 1200x675).