Ataque a Qubole: roles de confianza de AWS abrieron decenas de nubes

Un atacante usó credenciales comprometidas de Qubole para entrar, mediante roles de confianza, en entornos de AWS de varios clientes y robar datos (Fuente: BleepingComputer, con investigaciones de Wiz, Sentra y Mandiant).

Qubole es una plataforma de procesamiento y análisis de big data. Según el reporte del 10 de noviembre de 2026, la campaña se desarrolló entre el 14 y el 26 de octubre y afectó a «decenas» de empresas. Sentra confirmó docenas de víctimas y millones de archivos robados a un solo cliente.

Cómo lo hicieron

Se comprometieron dos usuarios IAM de Qubole. Con ellos, el atacante asumió roles entre cuentas que los clientes habían configurado para confiar en la cuenta de Qubole, y actuó dentro de los permisos de cada rol. Después:

• Inventarió recursos en la nube.
• Extrajo secretos de AWS Secrets Manager, SSM Parameter Store y variables de entorno de Lambda.
• Usó TruffleHog para validar claves de AWS y credenciales de Microsoft Entra ID y Okta. Sentra indicó que recolectó unas 100 contraseñas y claves en siete minutos.
• Descargó datos de todos los buckets S3 accesibles, de forma oportunista, sin apuntar a datos concretos.

La secuencia de llamadas fue la misma en todos los entornos: AssumeRole, ListBuckets, ListObjects y HeadObject para enumerar, y GetObject para descargar.

Qué recomiendan revisar

• CloudTrail desde el 1 de octubre, buscando accesos desde la cuenta AWS de Qubole.
• Accesos posteriores a secretos y a S3.
• Rotar las credenciales expuestas y revocar las sesiones de roles activas.
• Eliminar integraciones sin uso y ajustar permisos, identidades de confianza y redes de origen permitidas.

Qué no está confirmado

No se identifica al grupo atacante ni se explica cómo se comprometieron las cuentas de Qubole. El número exacto de víctimas es aproximado y el reporte no publica indicadores de compromiso concretos, como IP, dominios o hashes. BleepingComputer no halló un comunicado público de Qubole y le escribió a la empresa, a la espera de respuesta.

Nota elaborada con asistencia de IA. Fuentes verificadas y contenido editado por el equipo de Infosertec. Conocé nuestro proceso editorial.