Um atacante explorou uma chave de acesso roubada da Amazon Web Services (AWS) para conduzir uma campanha de phishing em larga escala por meio do Amazon Simple Email Service (SES), segundo a Wiz Security. Com a chave comprometida, o invasor conseguiu adicionar e verificar múltiplos domínios, passando a enviar grandes quantidades de e-mails maliciosos.
Leia também
Nova ferramenta acelera resposta a ciberataques
Falha de alta gravidade afeta IBM Watsonx Orchestrate
O SES é um serviço da AWS projetado para envio em massa de e-mails, normalmente usado em campanhas de marketing. Por padrão, as contas operam em “sandbox”, limitadas a 200 mensagens diárias e apenas para endereços verificados. Contudo, o atacante convenceu o suporte da AWS a remover essas restrições, ampliando a capacidade para até 50 mil e-mails por dia. Houve ainda uma tentativa de elevar esse limite, mas não foi bem-sucedida por falta de permissões na conta usada.
Após a liberação, os atacantes adicionaram domínios como identidades verificadas, incluindo alguns sob seu controle e outros sem proteção DMARC, permitindo envio em nome desses domínios (spoofing). Endereços comuns, como admin@, billing@, sales@ e noreply@, foram configurados para ampliar a credibilidade da campanha.
Diversas organizações foram impactadas com e-mails fraudulentos, muitos deles com temas fiscais nos assuntos para induzir abertura. As mensagens continham links para sites maliciosos destinados a roubo de credenciais, disfarçados por serviços de redirecionamento comumente usados em marketing, dificultando a detecção por soluções de segurança.
De acordo com a Wiz Security, o SES se torna atrativo para criminosos justamente por oferecer infraestrutura legítima para envio massivo de mensagens, o que aumenta os riscos financeiros e de reputação das vítimas e reduz a eficácia das defesas tradicionais.
