Cybersécurité Mis à jour le 22 septembre 2026 à 00:56 1 source

AWS automatise la mise en quarantaine des identifiants IAM exposés

AWS applique automatiquement la politique AWSCompromisedKeyQuarantine lorsqu’une clé IAM et son secret sont détectés sur une surface publique, notamment via le programme de détection des secrets de GitHub. Cette politique ajoute des refus ciblés afin de limiter les usages malveillants sans désactiver entièrement l’identité concernée. Elle a été enrichie au fil du temps pour couvrir davantage de services et de techniques d’attaque. Un test rapporté par Unit 42 indique qu’une mise en quarantaine est intervenue environ dix secondes après la publication d’identifiants sur un dépôt GitHub public, suivie de notifications GitHub, AWS Health et AWS Support. Les équipes de sécurité peuvent surveiller les événements CloudTrail associés et les contrôles de validité GitHub, tout en tenant compte des limites de détection lors de dépôts ou de lots de fichiers volumineux.

Technologie

Ce qu’il faut retenir

AWS attache automatiquement la politique gérée AWSCompromisedKeyQuarantine à l’utilisateur IAM associé lorsqu’une clé et un secret sont signalés comme exposés publiquement.
Sources : Palo Alto Unit 42
- Palo Alto Unit 42 — From Exposure to Lockdown: How AWS Neutralizes Compromised IAM Credentials through Managed Policies
La politique limite les actions dangereuses par des refus explicites, sans désactiver complètement la clé ou l’utilisateur IAM, afin de réduire l’impact opérationnel.
Sources : Palo Alto Unit 42
- Palo Alto Unit 42 — From Exposure to Lockdown: How AWS Neutralizes Compromised IAM Credentials through Managed Policies
AWSCompromisedKeyQuarantine a été créée en 2020, puis déclinée et enrichie dans des versions ultérieures, notamment en 2021 et 2024.
Sources : Palo Alto Unit 42
- Palo Alto Unit 42 — From Exposure to Lockdown: How AWS Neutralizes Compromised IAM Credentials through Managed Policies
Selon le test rapporté par Unit 42, AWS a attaché la version V3 de la politique environ dix secondes après la publication d’une clé exposée dans un dépôt GitHub public.
Sources : Palo Alto Unit 42
- Palo Alto Unit 42 — From Exposure to Lockdown: How AWS Neutralizes Compromised IAM Credentials through Managed Policies
Le processus de réaction observé comprend une alerte GitHub, une notification AWS Health, un courriel et la création d’un dossier AWS Support.
Sources : Palo Alto Unit 42
- Palo Alto Unit 42 — From Exposure to Lockdown: How AWS Neutralizes Compromised IAM Credentials through Managed Policies
GitHub utilise son programme de secret scanning et ses contrôles de validité pour détecter des identifiants AWS exposés et vérifier s’ils sont encore actifs.
Sources : Palo Alto Unit 42
- Palo Alto Unit 42 — From Exposure to Lockdown: How AWS Neutralizes Compromised IAM Credentials through Managed Policies
Les équipes de sécurité peuvent repérer l’attachement de la politique dans les journaux CloudTrail grâce à l’événement AttachUserPolicy et au nom de la politique concernée.
Sources : Palo Alto Unit 42
- Palo Alto Unit 42 — From Exposure to Lockdown: How AWS Neutralizes Compromised IAM Credentials through Managed Policies
L’évolution des permissions vise notamment des usages tels que la création de ressources Lambda ou IAM, la suppression d’objets S3 et certaines opérations sur Amazon Bedrock.
Sources : Palo Alto Unit 42
- Palo Alto Unit 42 — From Exposure to Lockdown: How AWS Neutralizes Compromised IAM Credentials through Managed Policies
Le dispositif de détection de GitHub présente des limites, notamment lors de lots de fichiers très volumineux ou lorsque plus de cinq secrets sont inclus dans une même poussée.
Sources : Palo Alto Unit 42
- Palo Alto Unit 42 — From Exposure to Lockdown: How AWS Neutralizes Compromised IAM Credentials through Managed Policies

Sources

Palo Alto Unit 42From Exposure to Lockdown: How AWS Neutralizes Compromised IAM Credentials through Managed Policies Ouvrir l'article ↗

Cybersécurité Mis à jour il y a 43 min

Des applications Ribon compromises exposent des données de clients de commerçants BigCommerce

Des attaquants ont compromis des identifiants associés aux applications tierces Ribon et Ribon 1.5, utilisées avec BigCommerce, puis les ont exploités entre le 13 et le 17 septembre pour accéder à des données de clients et injecter des scripts malveillants dans plusieurs boutiques. Les informations potentiellement exposées comprennent notamment les noms, adresses e-mail, numéros de téléphone et adresses postales, tandis que BigCommerce affirme que les mots de passe et données de cartes bancaires n’ont pas été concernés. La plateforme a retiré les applications des boutiques touchées, averti les commerçants et transmis des journaux pour l’enquête. L’ampleur exacte de l’incident reste incertaine et pourrait dépasser le cas du vendeur britannique Master of Malt, qui a signalé l’affaire à l’autorité britannique de protection des données.

BleepingComputer 1 article

↗

Cybersécurité Mis à jour il y a 47 min

Des annonces frauduleuses de locations apparaissent sur Booking.com

Des clients ont été piégés par de fausses annonces de logements sur Booking.com, notamment à Paris, avec des pertes financières signalées. La plateforme affirme suspendre les annonces suspectes dans les 24 heures et accompagner les victimes, mais un test réalisé par France 2 a montré qu’une annonce fictive était restée réservable plusieurs heures avant sa suppression. Un spécialiste des signalements d’arnaques dénonce une modération insuffisante.

Franceinfo — Une 1 article

↗

Cybersécurité Mis à jour il y a 48 min

Les changements de réseau peuvent interrompre brièvement la protection d’un VPN

Lorsqu’un téléphone ou un ordinateur passe du réseau cellulaire au Wi-Fi d’un aéroport ou d’un hôtel, le VPN peut mettre quelques secondes à rétablir son tunnel chiffré. Cette interruption peut exposer temporairement l’adresse IP et certains échanges, même si le HTTPS protège déjà une grande partie du trafic. L’article recommande d’activer la reconnexion automatique et le coupe-circuit du VPN, de vérifier le réseau Wi-Fi officiel et de confirmer la reconnexion avant d’utiliser des services sensibles.

Fox News 1 article

↗

Cybersécurité Mis à jour il y a 48 min

Une faille WordPress permet l’exécution de code PHP à distance

Une vulnérabilité de type CSRF dans le cœur de WordPress permet, via une chaîne d’attaque sans authentification directe, d’imposer l’installation d’un thème puis d’exécuter du code PHP sur le serveur. L’attaque nécessite toutefois qu’un administrateur connecté visite un lien piégé. La faille, qui peut exposer les données du site et permettre la création de comptes administrateurs frauduleux, a été corrigée dans WordPress 7.1.1, alors qu’un exploit de preuve de concept est désormais public.

BleepingComputer 1 article

↗