Le cabinet de sécurité Truffle Security a réexaminé plus de 10 000 clés d'accès AWS retrouvées en ligne entre 2022 et 2026. 88 % fonctionnaient encore lors du contrôle réalisé ce mois-ci.
Parmi les clés toujours actives, 768 appartiennent à des entreprises et donnent un contrôle total sur leurs comptes cloud. Certaines sont restées actives sans la moindre rotation pendant plus de cinq ans.
La solution tout-en-un pour protéger votre entreprise
Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !
Cinq ans d'ancienneté, aucune rotation : le profil type des clés compromises
L'entreprise de cybersécurité a passé au crible des dépôts Git, des images Docker, des registres de paquets, des journaux d'intégration continue et des jeux de données d'entraînement pour y repérer des identifiants AWS abandonnés. Nous rapportions en mai 2026 comment la CISA elle-même avait laissé des clés AWS actives sur un dépôt public pendant six mois avant qu'un chercheur français ne les repère. Pour Truffle Security ce type d'oubli est loin d'être une exception.
Sur 64 024 paires de clés recensées, une sur six est une clé "racine", le compte administrateur principal d'AWS, lequel ne peut donc être ni restreint ni limité par une politique de permissions. Les autres identifiants appartiennent à des utilisateurs IAM, les comptes secondaires créés à l'intérieur d'un compte AWS pour accorder des droits limités à chaque service ou employé. En croisant les coordonnées des comptes avec les noms d'utilisateur, Truffle Security a identifié 817 clés liées à des entreprises. Sur ce total, 526 sont des clés racine et 242 appartiennent à des utilisateurs IAM dotés de la politique "AdministratorAccess", soit 768 clés offrant un contrôle intégral d'un compte AWS d'entreprise. 130 clés racine supplémentaires concernent des comptes de gestion d'organisation, l'échelon qui administre tous les comptes d'une structure.
Hugging Face concentre à elle seule une bonne partie des clés retrouvées. La plateforme, où circulent des modèles et des jeux de données pour l'entraînement de l'IA, en héberge 8 482 encore actives dans 3 394 jeux de données publics. C'est d'ailleurs là qu'on y trouve le plus souvent des clés racines (17,9 % du total). Ces jeux de données reprennent souvent du code source public tel quel, identifiants compris.
Ces clés ne sont pas seulement nombreuses, elles sont aussi vieilles, et personne ne les renouvelle. La moitié des identifiants encore valides ont été créés il y a plus de cinq ans, et seuls 25 sur 2 903 dataient de moins d'un mois. La fuite est donc presque toujours ancienne. AWS applique de son côté une politique de quarantaine automatique, "AWSCompromisedKeyQuarantine", dès qu'un identifiant exposé est détecté. Cela concerne 929 des 7 590 utilisateurs IAM actifs, mais 112 conservent une version de cette restriction qu'AWS n'applique plus depuis 2023, preuve que ces clés, signalées depuis au moins trois ans, fonctionnent pourtant toujours.
D'ailleurs, l'argent n'est pas surveillé de plus près. Sur les comptes pour lesquels le budget peut être consulté, seuls 9,5 % ont une alerte configurée, avec un plafond médian de 8 dollars. La dépense médiane est proche de zéro. Mais sur le seul mois de juillet, 50 comptes ont dépassé 1 000 dollars de facturation, 9 sont passés au-dessus de 10 000 dollars, soit 420 631 dollars cumulés sur l'échantillon analysé. Truffle Security recommande de supprimer les clés racine, de suivre l'ancienneté des clés IAM et de mettre en place une alerte de budget.
Participer à la discussion
Partagez votre avis avec la communauté Clubic.