Imperva資料外洩原因出爐：AWS API金鑰被盜了

專門提供網路安全軟體及服務的資安業者Imperva在今年8月對外揭露，該公司雲端防火牆產品Cloud Web Application Firewall（Cloud WAF）客戶的資料外洩，並在近日公布調查結果，指出是因AWS API金鑰被盜了，才使得客戶資料曝光。

此一意外事件波及了2017年9月15日以前擁有Cloud WAF帳號的客戶，外洩的資料包括客戶的電子郵件帳號與加盬的雜湊密碼，也有部份客戶的API金鑰及所提供的SSL憑證外洩，讓Imperva要求客戶變更逾1.3萬個密碼，輪替超過1.35萬個SSL憑證，以及重新產生逾1,400個API金鑰。

Imperva表示，2017年時該公司正開始採納雲端技術，也正要改用AWS的關聯式資料庫（Relational Database Service，RDS），那時他們建立了一個資料庫快照來進行測試，並有一個可從外部存取的內部運算實例，且該實例中含有一個AWS API金鑰，有人入侵了實例並盜走了API金鑰，並以該金鑰來存取資料庫快照。

Imperva之所以得知此事則是因為有一第三方取得了資料集，在今年8月向Imperva要求抓漏獎勵，調查後發現並非Cloud WAF或其它產品含有安全漏洞，而是因AWS API金鑰遭到盜用。

除了即時通知客戶以變更密碼、憑證與金鑰之外，Imperva也強化了安全措施，包括將所有的新實例納入VPN網路，部署適當的監控與修補機制，並淘汰那些沒在使用與不太重要的運算實例。