Een routine-installatie van een softwarepakket kan leiden tot een cloudinbraak wanneer tijdens het installatieproces cloudcredentials worden gestolen. Deze gestolen credentials veranderen ontwikkelaarswerkstations en CI/CD-pijplijnen in toegangspoorten tot cloudomgevingen. Dit stelt aanvallers in staat om met geldige toegangsgegevens onbekende API-aanroepen te doen en zo cloudresources te compromitteren.

De aanval begint niet bij de klantgerichte applicatie of productieomgeving, maar op de machine van de ontwikkelaar of in de buildpipeline. Hier krijgt een vertrouwd pakket toegang tot cloudcredentials, waarmee een software supply chain-incident kan escaleren tot een cloud identity-incident. Het is daarom essentieel om de ontwikkelomgeving en cloudinfrastructuur als één samenhangend aanvalsoppervlak te beveiligen.

Ontwikkelaars- en CI-omgevingen bevatten vaak een groot aantal credentials, zoals AWS-access keys, GitHub Personal Access Tokens, GCP-serviceaccounttokens, Azure CLI-gegevens, npm-publiektokens, SSH-sleutels, Kubernetes kubeconfig-bestanden en HashiCorp Vault-tokens. Deze worden vaak in platte tekst opgeslagen op voorspelbare locaties, omdat ontwikkeltools gemak boven weerstand tegen aanvallen stellen. Door de enorme schaal van ecosystemen zoals npm, met miljoenen pakketten en miljarden downloads, kan een gecompromitteerd pakket of beheerder toegang krijgen tot veel downstreamomgevingen, wat credential harvesting mogelijk maakt.

Recente campagnes tussen september 2025 en mei 2026 tonen een consistent aanvalspatroon: kwaadaardige code tijdens installatie bereikt credentials, deze credentials geven toegang tot de cloud, waarna aanvallers reconnaissance, persistentie en datadiefstal uitvoeren. Dit benadrukt het belang van het beperken van installatie-scripts, het minimaliseren van credentialrechten, het beschermen van metadata-toegang en het monitoren van cloudactiviteiten. Het intrekken van blootgestelde credentials en het onderzoeken van cloudactiviteiten zijn noodzakelijk om de impact te beperken en herstel te ondersteunen. Oplossingen zoals Qualys TotalCloud helpen bij het verbinden van cloudrisicosignalen en het prioriteren van blootstellingen in multi-cloudomgevingen.