Google Threat Intelligence Group a raportat la 8 septembrie 2026 un incident din trimestrul al doilea în care un actor motivat financiar a compromis infrastructură cloud, apoi a folosit un chatbot de programare și agenți AI pentru a proiecta, construi și executa o operațiune de colectare a credențialelor în mai puțin de șase ore. Potrivit cercetătorilor, agenții au gestionat scanarea, depanarea și rotația adreselor IP, iar traficul a provenit inclusiv din adrese legitime ale infrastructurii compromise.
Ce este nou: comprimarea timpului dintre acces și scalare
Valoarea operațională a cazului nu este eticheta AI, ci viteza. Un prompt și un fișier cu instrucțiuni au fost suficiente, conform GTIG, pentru ca instrumentele să ajute la pregătirea unei campanii care a colectat mii de credențiale aparținând unor terți. Pentru echipa de apărare, fereastra dintre primul semnal și abuzul la scară poate deveni mai scurtă decât ciclul normal de triere, aprobare și schimbare.
Într-un caz separat, numit Recon, GTIG a găsit un panou expus care gestiona peste 23.800 de secrete colectate, între care chei API pentru servicii cloud și AI. Acest număr nu trebuie adunat la miile de credențiale din incidentul de șase ore: sunt observații distincte, utile împreună doar pentru a ilustra cum automatizarea poate organiza volume mari de acces furat.
Controlul critic este decizia rapidă, nu doar alerta
- Cloud și platform engineering stabilesc cine poate izola un workload compromis și cine poate revoca identitățile sale fără o aprobare în lanț.
- Echipa de dezvoltare inventariază secretele accesibile workloadului și pregătește rotația lor în ordinea impactului, inclusiv pentru servicii terțe.
- SOC corelează automatizarea neobișnuită, scanarea și traficul din IP-uri cloud legitime cu modificări de identitate, acces la secrete și volum API.
- Incident response păstrează dovezile înaintea reconstrucției și separă conturile doar expuse de cele pentru care există utilizare neautorizată.
- Ownerii de business decid ce serviciu poate fi oprit, ce funcționează degradat și cum sunt informați partenerii ale căror credențiale pot fi afectate.
Tabletop: șase ore până la colectarea la scară
Rulează exercițiul în 45 de minute cu cloud, dezvoltare, identity, SOC, incident response, juridic și ownerul serviciului. Cronometrul scenariului avansează mai repede decât ședința: pentru fiecare inject cere o decizie, un responsabil, un termen și dovada necesară.
- Ora 0 — o identitate de workload creează resurse și lansează scanări neobișnuite. Este incident, test intern sau automatizare legitimă și cine poate suspenda identitatea?
- Ora 1 — traficul provine din adrese ale unui furnizor cloud cunoscut. Ce semnale suplimentare împiedică închiderea prematură a alertei?
- Ora 2 — logurile indică acces la un manager de secrete. Ce chei se rotesc primele și cum evitați ruperea serviciilor dependente?
- Ora 4 — un partener raportează folosirea unei chei care i-a fost emisă. Cine îl contactează, ce fapt poate fi confirmat și ce rămâne ipoteză?
- Ora 6 — volumul crește, dar amploarea exactă nu este cunoscută. Ce opriți, ce păstrați pentru investigație și ce comunicați conducerii?
- A doua zi — apar indicii într-un serviciu terț. Cum verificați compromiterea dincolo de resetarea secretelor și cine declară incidentul închis?
Măsurători care arată dacă organizația ține pasul
- Timpul de la primul semnal până la desemnarea incident commanderului și izolarea identității compromise.
- Procentul secretelor cu owner, dependențe și procedură de rotație testată.
- Timpul necesar pentru a identifica serviciile terțe care au primit o cheie sau un token.
- Capacitatea de a detecta abuzul prin comportament, nu doar prin reputația adresei IP.
- Calitatea comunicării: fapt observat, concluzie probabilă și necunoscut sunt etichetate separat.
- Dovada verificării post-incident: acces revocat, persistență căutată, workload reconstruit și monitorizare extinsă.
Cum poate ajuta Learning Awarely
Learning Awarely poate transforma o fereastră tehnică de șase ore într-un exercițiu comun pentru rolurile care trebuie să decidă sub presiune. Platforma poate măsura timpul de escaladare, alegerea ownerului și limitele comunicării; nu monitorizează infrastructura cloud, nu rotește secrete și nu înlocuiește investigația tehnică.