Il root di AWS diventa il bersaglio da sondare in silenzio
Datadog Security Research ha osservato dal 24 luglio al 23 agosto 2026 una campagna di password spraying contro gli AWS root user account di oltre 150 organizzazioni. Il volume è stato basso, ma l’ampiezza del bersaglio dice molto più di un semplice rumore di login.
Il traffico passava da proxy e alternava user agent diversi, segno di un tentativo di confondersi con l’attività normale. Qui il punto non è il furto massivo di credenziali: è trovare, account per account, l’unica identità che in AWS può ancora toccare billing, impostazioni e percorsi di recovery, cioè il controllo del piano di gestione.
Per chi governa identità e accessi in AWS, questo sposta l’attenzione sul nome dell’account root come superficie esposta. Se quell’identificatore è noto, un password spraying lento può puntare dritto alla chiave più preziosa dell’organizzazione, anche senza superare la soglia dell’allarme operativo classico.