Chave Mestra em Risco: Como o Password Spraying Está Mirando a Raiz da AWS

Segundo o BoletimSec, uma campanha de password spraying atingiu contas root da AWS em mais de 150 organizações entre 24 de julho e 23 de agosto de 2026. O detalhe que chama atenção não é apenas o volume de alvos, mas o tipo de conta visada: estamos falando da identidade com privilégios máximos dentro de um ambiente de nuvem, aquela que nasce junto com a própria conta AWS e tem acesso irrestrito a tudo que existe ali dentro.

Quem trabalha com infraestrutura sabe que a conta root da AWS não é para uso do dia a dia. Ela deveria ficar guardada, protegida com autenticação multifator, e praticamente esquecida depois da configuração inicial. Só que na prática, muita empresa pequena e média ainda trata essa credencial com o mesmo descuido que trata uma senha de rede social. E é exatamente essa brecha comportamental que os atacantes estão explorando.

Como funciona um ataque de password spraying

Diferente do ataque de força bruta tradicional, que tenta várias senhas contra um único usuário até acertar, o password spraying inverte a lógica. Os criminosos pegam uma senha comum, tipo aquelas que aparecem todo ano nas listas de piores senhas do mundo, e tentam usá-la contra centenas ou milhares de contas diferentes.

Essa técnica é inteligente porque evita o bloqueio automático que a maioria dos sistemas aplica após várias tentativas falhas na mesma conta. Ao espalhar as tentativas, o invasor passa despercebido pelos mecanismos de defesa mais simples.

No caso específico da AWS, o alvo escolhido não foi um usuário qualquer do IAM, mas a conta root. Isso mostra um nível de sofisticação e conhecimento técnico sobre a arquitetura da nuvem que deveria acender um alerta em qualquer analista de TI responsável por ambientes corporativos.

O que está em jogo quando a conta root é comprometida

Se um atacante conseguir acesso root em uma conta AWS, ele pode literalmente fazer qualquer coisa: criar novos usuários, deletar recursos, acessar dados sensíveis, alterar configurações de faturamento e até desativar mecanismos de segurança que a própria empresa configurou.

É como entregar a chave mestra de um prédio inteiro para alguém que você nunca viu na vida. Não tem sala trancada, não tem cofre protegido, não tem área restrita que resista a esse nível de acesso.

O que empresas pequenas e médias podem aprender com isso

Muita gente ainda pensa que ataques desse tipo só acontecem com grand