Atacantes usaron el acceso de confianza de Qubole a AWS para robar secretos y datos de sus clientes

Wiz detectó intrusiones entre el 14 y el 26 de octubre con credenciales de la cuenta AWS de la plataforma. Muchos de los roles usados ya no tenían uso, pero seguían abiertos.

Un atacante entró a cuentas de AWS de varios clientes de Qubole entre el 14 y el 26 de octubre y se llevó secretos y datos. Así lo informó la firma de seguridad en la nube Wiz, citada por The Hacker News el 9 de noviembre de 2026. Usó credenciales de la cuenta de AWS con la que la plataforma de Qubole, propiedad de Idera, accede a sus clientes. No se sabe cómo las obtuvo.

Qubole trabaja dentro de las cuentas de AWS de cada cliente mediante un rol que confía en la cuenta de la plataforma. Según Wiz, la mayoría de los roles que usó el atacante estaban en desuso, pero seguían confiando en Qubole, así que sus solicitudes funcionaron. Una vez dentro, buscó credenciales guardadas en Lambda, Secrets Manager y SSM Parameter Store, las probó con la herramienta TruffleHog y copió buckets completos de S3.

Wiz recomienda a toda organización que haya conectado Qubole con AWS, aunque ya no lo use, revisar sus registros de CloudTrail desde el 1 de octubre. Si el atacante usó uno de sus roles, debe rotar los secretos a los que ese rol tenía acceso y cerrar sus sesiones activas. También sugiere borrar los roles que ya no se necesitan y limitar por dirección IP desde dónde pueden asumirse. Ni Qubole ni Idera habían publicado un comunicado cuando The Hacker News revisó sus sitios.

Fuente: The Hacker News: «Hackers Exploit Qubole's Trusted AWS Access to Breach Customer Accounts and Steal Data», 9 de noviembre de 2026.