Cache AWS su Windows: una sola credenziale può aprire il 98% del cloud aziendale

Nel cloud moderno la sicurezza non si gioca solo su firewall e vulnerabilita software, ma soprattutto sull'identita. Un singolo dettaglio apparentemente innocuo puo trasformarsi in un percorso di attacco completo.

Un esempio concreto e una chiave di accesso AWS salvata in cache su un computer Windows dopo un normale login utente. Nessuna configurazione errata evidente, nessuna policy violata, solo un comportamento standard. Eppure quella credenziale, se trovata da un attaccante con competenze anche limitate, poteva offrire un accesso potenziale a circa il 98 percento delle entita presenti nell'ambiente cloud aziendale, includendo workload critici.

Il motivo e che oggi le infrastrutture ibride funzionano come una rete di identita e permessi. Active Directory, provider di identita cloud, account di servizio, identita macchina e persino agenti AI portano con se privilegi che attraversano sistemi e confini di fiducia. Quando un criminale ruba una credenziale non ottiene solo un accesso, ottiene un'identita legittima con tutte le autorizzazioni collegate. In questo scenario l'identita diventa una vera e propria autostrada interna che consente movimento laterale e escalation di privilegi, spesso senza bisogno di exploit complessi.

Il rischio aumenta quando i permessi restano eccessivi o dimenticati. Una membership in un gruppo Active Directory mai ricontrollata puo collegare un endpoint periferico al dominio aziendale. Un ruolo SSO creato per una migrazione cloud puo mantenere privilegi elevati anche dopo la fine del progetto, lasciando un percorso in pochi passaggi verso privilegi di amministratore in produzione. Queste catene di esposizione sono pericolose proprio perche i singoli anelli sembrano normali se osservati isolatamente.

Le statistiche confermano la tendenza. Le debolezze legate all'identita compaiono nella grande maggioranza delle indagini di incident response e il furto di credenziali resta tra i vettori iniziali piu comuni. Con la diffusione di agenti AI e identita non umane, la superficie di attacco cresce ancora. Se un agente AI eredita permessi amministrativi tramite strumenti di automazione o server di integrazione, una vulnerabilita nel software usato puo trasferire quegli stessi privilegi a un attaccante.

Molte organizzazioni si affidano a strumenti come IGA e PAM, utili ma spesso separati e incapaci di mappare l'intero percorso di attacco tra endpoint, directory e cloud. Senza una visione unificata di identita, permessi e contesto, le esposizioni continuano a concatenarsi e restano invisibili fino a quando qualcuno non le sfrutta.