Per chi gestisce AWS, il problema non è solo la fuga iniziale: oltre 9.300 access key pubbliche esposte tra agosto 2022 e agosto 2026 risultano ancora attive e valide. Una chiave vecchia, se non disabilitata, continua quindi a offrire un percorso amministrativo reale verso account aziendali.
Qui sta il meccanismo: una credenziale lunga vita resta utilizzabile finché qualcuno non la revoca davvero. Con privilegi adeguati può consentire accesso persistente, creazione di risorse e abuso dei dati, anche dopo cambi di personale o di progetto che fanno sembrare chiuso il problema.
Per chi conserva credenziali in codice, ticket, paste site o repository pubblici, la lezione è strutturale: una volta uscita, una chiave può restare operativa molto più a lungo di quanto suggerisca la memoria dell’incidente.