AWS : Plus de 700 clés d'accès dans la nature, avec des droits admin

Le cabinet de sécurité Truffle Security a réexaminé plus de 10 000 clés d'accès AWS retrouvées en ligne entre 2022 et 2026. 88 % fonctionnaient encore lors du contrôle réalisé ce mois-ci.

Parmi les clés toujours actives, 768 appartiennent à des entreprises et donnent un contrôle total sur leurs comptes cloud. Certaines sont restées actives sans la moindre rotation pendant plus de cinq ans.

Bitdefender La solution tout-en-un pour protéger votre entreprise Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !

L'entreprise de cybersécurité a passé au crible des dépôts Git, des images Docker, des registres de paquets, des journaux d'intégration continue et des jeux de données d'entraînement pour y repérer des identifiants AWS abandonnés. Nous rapportions en mai 2026 comment la CISA elle-même avait laissé des clés AWS actives sur un dépôt public pendant six mois avant qu'un chercheur français ne les repère. Pour Truffle Security ce type d'oubli est loin d'être une exception.

Sur 64 024 paires de clés recensées, une sur six est une clé "racine", le compte administrateur principal d'AWS, lequel ne peut donc être ni restreint ni limité par une politique de permissions. Les autres identifiants appartiennent à des utilisateurs IAM, les comptes secondaires créés à l'intérieur d'un compte AWS pour accorder des droits limités à chaque service ou employé. En croisant les coordonnées des comptes avec les noms d'utilisateur, Truffle Security a identifié 817 clés liées à des entreprises. Sur ce total, 526 sont des clés racine et 242 appartiennent à des utilisateurs IAM dotés de la politique "AdministratorAccess", soit 768 clés offrant un contrôle intégral d'un compte AWS d'entreprise. 130 clés racine supplémentaires concernent des comptes de gestion d'organisation, l'échelon qui administre tous les comptes d'une structure.

Hugging Face concentre à elle seule une bonne partie des clés retrouvées. La plateforme, où circulent des modèles et des jeux de données pour l'entraînement de l'IA, en héberge 8 482 encore actives dans 3 394 jeux de données publics. C'est d'ailleurs là qu'on y trouve le plus souvent des clés racines (17,9 % du total). Ces jeux de données reprennent souvent du code source public tel quel, identifiants compris.

Ces clés ne sont pas seulement nombreuses, elles sont aussi vieilles, et personne ne les renouvelle. La moitié des identifiants encore valides ont été créés il y a plus de cinq ans, et seuls 25 sur 2 903 dataient de moins d'un mois. La fuite est donc presque toujours ancienne. AWS applique de son côté une politique de quarantaine automatique, "AWSCompromisedKeyQuarantine", dès qu'un identifiant exposé est détecté. Cela concerne 929 des 7 590 utilisateurs IAM actifs, mais 112 conservent une version de cette restriction qu'AWS n'applique plus depuis 2023, preuve que ces clés, signalées depuis au moins trois ans, fonctionnent pourtant toujours.

D'ailleurs, l'argent n'est pas surveillé de plus près. Sur les comptes pour lesquels le budget peut être consulté, seuls 9,5 % ont une alerte configurée, avec un plafond médian de 8 dollars.