Przez wyciek kluczy AWS rośnie fala phishingu z Amazon SES. Jak się bronić?
Badacze Kaspersky ostrzegają przed wzrostem ataków phishingowych wykorzystujących Amazon SES. Wyciekłe klucze AWS pozwalają ominąć filery bezpieczeństwa. Podpowiadamy, jak zabezpieczyć firmę przed tym zagrożeniem.
Phishingowe wiadomości e-mail stają się coraz trudniejsze do odróżnienia od prawdziwych, zwłaszcza gdy są wysyłane z legalnych, powszechnie zaufanych systemów. Badacze z Kaspersky ostrzegają przed rosnącą skalą ataków wykorzystujących Amazon Simple Email Service (SES). Atakujący kradną lub znajdują w publicznych repozytoriach klucze dostępu do AWS, a następnie rozsyłają fałszywe wiadomości, które przechodzą wszystkie standardowe mechanizmy uwierzytelniania. Problem dotyczy firm każdej wielkości, które korzystają z poczty elektronicznej i mogą stać się celem lub – nieświadomie – narzędziem ataku.
Dlaczego Amazon SES jest tak skutecznym narzędziem w rękach cyberprzestępców?
Amazon SES to usługa do masowego wysyłania wiadomości e-mail, używana przez tysiące firm na całym świecie. Ponieważ jest to zaufane źródło, wiadomości wysłane za jej pośrednictwem nie są oznaczane jako spam, a protokoły uwierzytelniania, takie jak SPF, DKIM i DMARC, nie stanowią przeszkody. Atakujący nie muszą już fałszować nagłówków – robi to za nich legalna infrastruktura chmurowa.
Jak podaje BleepingComputer, powołując się na raport Kaspersky, kluczowym czynnikiem napędzającym to zjawisko jest masowy wyciek kluczy AWS Identity and Access Management (IAM). Są one regularnie publikowane w publicznych repozytoriach GitHub, plikach .ENV, obrazach Docker, backupach i ogólnodostępnych bucketach S3.
Skala problemu jest znacząca. Kaspersky informuje o „wzroście ataków phishingowych wykorzystujących Amazon SES”, a sama technika stała się bardziej dostępna dzięki automatyzacji. Przestępcy używają narzędzi takich jak TruffleHog do automatycznego skanowania sieci w poszukiwaniu wyciekłych kluczy. Po znalezieniu klucza i sprawdzeniu jego uprawnień mogą wysyłać masowe wiadomości bez obawy o blokadę.
Jak wyglądają ataki i kogo dotyczą?
Badacze Kaspersky zaobserwowali, że wiadomości phishingowe wysyłane przez Amazon SES mają wysoki poziom zaawansowania. Atakujący przygotowują niestandardowe szablony HTML, które naśladują prawdziwe serwisy. Wśród wykrytych typów ataków znalazły się:
- Fałszywe powiadomienia o podpisaniu dokumentów – imitujące serwis DocuSign, prowadzące ofiary do stron phishingowych hostowanych również w AWS.
- Ataki typu business email compromise (BEC) – przestępcy fabrykują całe wątki e-mail, aby uprawdopodobnić fałszywe faktury i nakłonić działy finansowe do przelewów.
Dla odbiorcy taka wiadomość wygląda autentycznie. Wszystkie nagłówki przechodzą kontrolę, a domena nadawcy – jeśli atakujący skonfigurują własną domenę w SES – może być wiarygodna. Problem w tym, że zablokowanie adresu IP, z którego wysyłane są fałszywe maile, nie wchodzi w grę – oznaczałoby to zablokowanie całej komunikacji z Amazon SES, co dla wielu firm byłoby paraliżujące.
Co mogą zrobić firmy i administratorzy?
Ochrona przed tym typem phishingu wymaga działań na kilku frontach. Po pierwsze, kluczowe jest zapobieganie wyciekom własnych kluczy AWS. Kaspersky rekomenduje przestrzeganie zasady najmniejszych uprawnień (least privilege) przy konfiguracji IAM, regularną rotację kluczy, włączenie uwierzytelniania wieloskładnikowego (MFA) oraz stosowanie ograniczeń IP i szyfrowania.
Po drugie, warto wdrożyć dodatkowe mechanizmy filtrowania poczty, które analizują nie tylko nagłówki, ale i treść wiadomości. Narzędzia antyspamowe z funkcją analizy behawioralnej mogą wykrywać nietypowe wzorce, nawet jeśli wiadomość przechodzi testy uwierzytelniania. Po trzecie, kluczową rolę odgrywa edukacja pracowników – powinni być świadomi, że nawet wiadomość z pozoru autentyczna może być phishingiem.
Amazon – jak wynika z oświadczenia dla BleepingComputer – reaguje na zgłoszenia naruszeń warunków korzystania z usług. Firma zachęca do raportowania podejrzanej aktywności do zespołu AWS Trust & Safety. To ważne, ale nie zastąpi własnych zabezpieczeń.
Co dalej? Trend, który nie zniknie
Ataki z wykorzystaniem legalnych usług chmurowych to nie chwilowa moda. Przestępcy stale szukają nowych sposobów na ominięcie zabezpieczeń. Jak zauważają badacze Kaspersky, nie ograniczają się tylko do Amazon SES – eksperymentują z innymi systemami pocztowymi. Dla firm oznacza to konieczność ciągłego monitorowania i aktualizacji polityk bezpieczeństwa.
Warto pamiętać, że każde naruszenie bezpieczeństwa zaczyna się często od wycieku danych uwierzytelniających. Regularne skanowanie repozytoriów kodu w poszukiwaniu wyciekłych kluczy, korzystanie z narzędzi do wykrywania sekretów (secret scanning) oraz edukacja programistów i administratorów to inwestycja, która zwraca się wielokrotnie.
