พบกุญแจ AWS หลุดสาธารณะกว่า 9,300 ชุดที่ยังใช้งานได้ เปิดทางเข้าควบคุมบัญชีองค์กรได้เต็มรูปแบบ

งานวิจัยที่เก็บข้อมูลต่อเนื่องสี่ปีพบกุญแจเข้าถึง AWS ที่หลุดสู่สาธารณะรวม 64,024 ชุด และยังใช้ยืนยันตัวตนได้ถึง 88% ในจำนวนนี้มี 526 ชุดที่เป็นกุญแจระดับ root และ 242 ชุดที่มีสิทธิ์ผู้ดูแลระบบเต็มรูปแบบ

บริษัทวิจัยด้านความปลอดภัย Truffle Security เผยแพร่ผลการศึกษาที่เก็บข้อมูลระหว่างเดือนสิงหาคม 2022 ถึงสิงหาคม 2026 พบกุญแจเข้าถึง AWS ที่หลุดสู่สาธารณะทั้งสิ้น 64,024 ชุด กระจายอยู่ใน 50,654 บัญชี และเมื่อทดสอบ ณ วันที่ 10 สิงหาคม 2026 พบว่ายังใช้ยืนยันตัวตนได้ถึง 88% โดยมีมากกว่า 9,300 ชุดที่ยังเปิดใช้งานอยู่จริง

แหล่งที่กุญแจหลุดออกมามากที่สุดคือแพลตฟอร์มแบ่งปันโมเดลและชุดข้อมูลอย่าง Hugging Face ซึ่งคิดเป็น 8,482 ชุด และในจำนวนนั้น 17.9% เป็นกุญแจระดับ root ที่มีสิทธิ์สูงสุด สาเหตุที่พบบ่อยคือการเผลอฝังคีย์ไว้ในโน้ตบุ๊กตัวอย่าง สคริปต์เทรนโมเดล หรือไฟล์คอนฟิกที่อัปโหลดขึ้นไปพร้อมโปรเจกต์

ระดับความเสียหายที่เป็นไปได้ขึ้นอยู่กับสิทธิ์ของกุญแจแต่ละชุด นักวิจัยพบ 242 ชุดที่ผูกกับนโยบาย AdministratorAccess ซึ่งทำได้ทุกอย่างในบัญชี และ 526 ชุดที่เป็นกุญแจระดับ root ผู้ที่ได้กุญแจเหล่านี้ไปสามารถดูดข้อมูล ยึดเซิร์ฟเวอร์ ติดตั้งโปรแกรมขุดเหรียญ และสร้างช่องทางเข้าถึงถาวรไว้ใช้ภายหลังได้ นอกจากนี้ยังพบว่ามี 817 ชุดที่เชื่อมโยงกับองค์กรธุรกิจโดยตรง

ตัวเลขที่น่ากังวลไม่แพ้กันคือมีกุญแจเพียง 13.7% เท่านั้นที่เคยถูกหมุนเปลี่ยน แปลว่าองค์กรส่วนใหญ่ตั้งกุญแจไว้ครั้งเดียวแล้วใช้ยาวโดยไม่มีรอบทบทวน ด้าน AWS ระบุว่าจะแจ้งเตือนลูกค้าเมื่อทราบว่ามีกุญแจหลุด พร้อมตรวจสอบและใช้นโยบายกักกันบัญชีเมื่อจำเป็น

สิ่งที่องค์กรไทยควรทำทันทีมีสี่ข้อ หนึ่งคือลบกุญแจระดับ root ทิ้งให้หมด เพราะแทบไม่มีงานประจำวันใดที่จำเป็นต้องใช้ สองคือไล่ดูรายการ IAM credential เรียงตามอายุ แล้วเพิกถอนหรือหมุนกุญแจที่เก่าเกินกำหนด สามคือเปลี่ยนไปใช้ IAM Role หรือ OIDC สำหรับงาน CI/CD แทนการฝังคีย์ถาวรไว้ในไฟล์ตั้งค่า และสี่คือตั้งการแจ้งเตือนงบประมาณและความผิดปกติของการใช้งาน เพื่อให้รู้ตัวเร็วหากมีใครนำบัญชีไปใช้ผิดวัตถุประสงค์ เสริมด้วยการสแกนความลับในรีโปทุกครั้งที่มีการ push