Eksperci z zespołu Unit 42 Palo Alto Networks zidentyfikowali nową technikę ataku typu „bucket hijacking”, która wykorzystuje błędy w konfiguracji środowisk chmurowych. Pozwala ona cyberprzestępcom przejąć przepływ danych i przekierować je do własnych zasobów . Problem dotyczy popularnych środowisk chmurowych, w tym Amazon Web Services (AWS), Google Cloud oraz Microsoft Azure, i pokazuje, jak istotne staje się odpowiednie zarządzanie tożsamościami, uprawnieniami oraz konfiguracją usług w chmurze.
Chmura stała się jednym z fundamentów cyfrowej transformacji polskich organizacji. Według danych GUS w 2025 r. z płatnych usług chmury obliczeniowej korzystało już 55,3% przedsiębiorstw w Polsce . Rosnąca liczba procesów biznesowych i danych przenoszonych do tego typu środowisk sprawia jednak, że coraz większego znaczenia nabiera ich odpowiednie zabezpieczenie. Nawet pozornie niewielkie błędy w konfiguracji mogą dziś prowadzić do utraty kontroli nad przepływem informacji.
Nowa technika zidentyfikowana przez ekspertów Unit 42 pokazuje, że w środowiskach chmurowych coraz większym wyzwaniem stają się nie tylko zaawansowane ataki, ale również błędy wynikające z konfiguracji i zarządzania dostępem. Cyberprzestępcy coraz częściej wykorzystują pozornie niewielkie podatności, które pozostają niezauważone przez długi czas.
Atak wykorzystujący lukę w konfiguracji
Technika „bucket hijacking” opiera się na sposobie działania popularnych usług przechowywania danych w chmurze, wykorzystywanych m.in. przez Amazon Web Services (AWS), Google Cloud oraz Microsoft Azure. Kontenery danych, tzw. buckety, muszą mieć unikalne nazwy w ramach danej platformy. Jeśli organizacja usunie taki zasób, ale pozostawi aktywne procesy automatycznego przesyłania danych, cyberprzestępca może utworzyć własny bucket o tej samej nazwie. W efekcie dane, które miały trafić do organizacji, mogą zostać przekierowane do środowiska kontrolowanego przez atakującego, np. logi systemowe, kopie zapasowe czy informacje telemetryczne.
Zagrożenie jest szczególnie trudne do wykrycia, ponieważ po przejęciu nazwy zasobu konfiguracja po stronie organizacji może nadal wyglądać poprawnie. Automatyczne procesy przesyłania danych często działają bez regularnej weryfikacji, co sprawia, że nieautoryzowane przekierowanie informacji może pozostać niezauważone przez długi czas.
Odkrycie zespołu Unit 42 wpisuje się w szerszy trend obserwowany w cyberbezpieczeństwie. Coraz częściej cyberprzestępcy nie próbują przełamywać zaawansowanych zabezpieczeń, lecz szukają sposobów na wykorzystanie słabości w procesach zarządzania i konfiguracji środowiska IT, w szczególności zbyt szerokie prawa dostępu. Potwierdzają to wyniki Global Incident Response Report 2026, zgodnie z którymi słabości związane z zarządzaniem tożsamością i uprawnieniami dostępu odegrały istotną rolę w niemal 90% incydentów . Cyberprzestępcy coraz częściej wykorzystują nadmierne uprawnienia, nieaktualne konfiguracje lub przejęte dane uwierzytelniające, ponieważ pozwalają one osiągnąć ten sam efekt co klasyczne włamanie, ale przy znacznie mniejszym ryzyku wykrycia.
– To odkrycie pokazuje, że bezpieczeństwo środowisk chmurowych zależy dziś nie tylko od wykorzystywanych technologii, ale przede wszystkim od sposobu ich konfiguracji oraz zarządzania dostępem. Nadmierne uprawnienia, nieaktualne konfiguracje czy brak regularnej weryfikacji zasobów mogą stworzyć warunki do skutecznego ataku. Dlatego zarządzanie tożsamościami i konfiguracją powinno stanowić integralny element strategii cyberbezpieczeństwa, opartej na zasadzie najmniejszych uprawnień oraz modelu Zero Trust – wskazuje Tomasz Pietrzyk, dyrektor techniczny w Palo Alto Networks w Europie Środkowo-Wschodniej.
Opisana technika nie jest związana z konkretnym dostawcą usług chmurowych, lecz wynika ze sposobu działania rozwiązań wykorzystywanych w różnych środowiskach. Choć dotychczas nie odnotowano przypadków jej wykorzystania w rzeczywistych atakach, pokazuje ona, jak pozornie niewielkie błędy w konfiguracji mogą prowadzić do poważnych konsekwencji i dlaczego bezpieczeństwo środowisk chmurowych wymaga ciągłej weryfikacji.
– Aby ograniczyć ryzyko, organizacje powinny regularnie przeglądać konfigurację środowisk chmurowych, ograniczać uprawnienia do wykonywania krytycznych operacji oraz monitorować zmiany dotyczące kluczowych zasobów. W procesie tym mogą wspierać je rozwiązania wykorzystujące sztuczną inteligencję, takie jak nasza platforma Cortex, która pomaga szybciej wykrywać nietypowe działania i anomalie oraz reagować na potencjalne zagrożenia – podsumowuje Tomasz Pietrzyk.