Die Datenbasis der Untersuchung ist umfangreich: Truffle Security stieß in Code-Repositories, Git-Historien, Datensätzen, Docker-Images, Registries und CI-Protokollen auf 431.875 AWS-Geheimnisse. Nach Entfernen von Dubletten blieben 64.024 eindeutige Schlüssel, die 50.654 AWS-Konten zuzuordnen waren.
Für eine erneute Überprüfung geeignet waren nur jene 10.616 Schlüssel, zu denen den Forschern vollständige Anmeldedaten vorlagen. Von diesen ließen sich zum Stand 10. August noch 88 Prozent erfolgreich authentifizieren.
Als größte einzelne Quelle offengelegter AWS-Schlüssel erwies sich Hugging Face, die bekannte Plattform, auf der Entwickler KI-Modelle, Datensätze und Anwendungen teilen. Allein dort entfielen 8.482 eindeutige Schlüssel-Offenlegungen, 17,9 Prozent davon Root-Schlüssel.
Besonders auffällig ist das Alter der Zugangsdaten. Für 2.903 Schlüssel lag ein Erstellungsdatum vor; der Median betrug 1.831 Tage, also rund fünf Jahre. Der älteste Schlüssel existierte seit 17,4 Jahren. Nur 398 Einträge – 13,7 Prozent – hatten einen neueren Zugangsschlüssel für denselben Nutzer, was darauf hindeutet, dass die meisten nie rotiert wurden.
Neben Datendiebstahl und Sabotage nennen die Forscher das Einspielen von Kryptominern als naheliegenden Missbrauch, der bei den betroffenen Unternehmen erhebliche Kosten verursachen kann. Auffallen würde das vielen kaum: Von 2.754 auslesbaren Konten hatten lediglich 262 eine Budgetwarnung konfiguriert.
Als Gegenmaßnahmen empfiehlt Truffle Security, sämtliche Root-Zugangsschlüssel zu löschen, IAM-Anmeldedaten nach Alter zu prüfen, offengelegte Schlüssel zu rotieren oder zu widerrufen und Budgetwarnungen einzurichten. Grundsätzlich gelte: Jedes Zugangsdatum, das in eine öffentliche Quelle eingecheckt wurde, sei als kompromittiert zu behandeln.
Das Unternehmen betont, seine Tests hätten sich auf schreibgeschützte Metadaten beschränkt. Alle identifizierbaren Eigentümer der offengelegten Zugangsdaten seien informiert worden.