9.300 chaves da AWS vazadas continuam ativas, e parte delas abre a conta inteira

Uma pesquisa da empresa de segurança Truffle Security encontrou mais de 9.300 chaves de acesso da AWS, a nuvem da Amazon, espalhadas pela internet entre agosto de 2022 e agosto de 2026, que continuam funcionando até hoje. Segundo o site BleepingComputer, ninguém trocou essas credenciais depois que vazaram, o que significa que qualquer pessoa que encontrasse os códigos ainda conseguiria entrar nas contas correspondentes.

Uma chave de acesso da AWS é, em linhas gerais, uma combinação de usuário e senha que programas usam para conversar com os serviços da Amazon sem um humano digitando nada: guardar um arquivo, ligar um servidor, mexer num banco de dados. O problema é que muita gente cola essas chaves direto no código, e se esse código vaza, por exemplo num repositório público, a chave vaza junto. Das 9.300 encontradas, 817 pertencem a empresas de verdade, não só a projetos pessoais espalhados pela web. E aí a coisa fica séria: 526 são chaves “root”, equivalentes à senha-mestra da conta inteira, e outras 242 têm uma permissão chamada AdministratorAccess, que dá controle sobre praticamente qualquer recurso hospedado ali dentro.

A maior fonte isolada de vazamento, com mais de 8.400 chaves diferentes, foi o Hugging Face, plataforma bastante usada por quem desenvolve e compartilha modelos de inteligência artificial. Faz sentido: projetos de IA lidam com muito código experimental, subido às pressas, sem o mesmo cuidado de segurança que uma equipe de produção costuma ter. A idade mediana das chaves encontradas é de cerca de cinco anos, o que quer dizer que boa parte desses vazamentos está exposta há bastante tempo, silenciosamente, sem que ninguém tenha percebido ou se dado ao trabalho de revogar o acesso.

Quem não mexe com programação também sente o efeito disso, só que de longe. Atrás de quase qualquer aplicativo, banco digital ou loja online existe uma conta na nuvem guardando dados de clientes, senhas e informações de pagamento. Uma chave da AWS esquecida e ainda ativa é, na prática, uma porta destrancada que ninguém lembrou de fechar. Se um golpista encontrar uma dessas chaves com privilégio de administrador, pode copiar bancos de dados inteiros, ligar servidores caríssimos por conta da vítima ou usar aquela infraestrutura para atacar outras empresas, tudo em nome de quem talvez nunca descubra que a própria chave estava exposta.

A recomendação de segurança para quem programa é simples de enunciar e trabalhosa de aplicar: nunca deixar credenciais dentro do código, usar cofres de segredos dedicados para isso e revisar de tempos em tempos quais chaves ainda existem e continuam necessárias. Nove mil chaves ativas depois de anos expostas não é falha de um sistema só, é sinal de que revogar acesso é a etapa que todo mundo promete fazer depois e quase ninguém faz.