Un viernes a las 6 de la tarde, pensó que lo habían hackeado en AWS

Viernes, 6 de la tarde. Me llega un mensaje de un miembro de la comunidad: “Marcia, creo que me hackearon, AWS me quiere cobrar miles de dólares y no sé qué hacer”. Dejé todo y volví corriendo a mi casa. Cuando entré a la llamada con él, ya estaba borrando usuarios, reseteando contraseñas, tirándose de los pelos. En pánico total. Y lo que hizo en esos primeros veinte minutos es exactamente lo que NO tenés que hacer. 💡 El protocolo que seguimos esa tarde Lo primero que le dije fue: pará. No sigas borrando nada. Si de verdad hubiera sido un hackeo, borrar usuarios a lo loco es justo lo que te puede dejar afuera de tu propia cuenta o destruir la evidencia que necesitás para entender qué pasó. Es como encontrar la llave de tu casa movida de lugar y, por las dudas, prender fuego la casa entera. La regla: primero mirás, después actuás. Y antes de tocar nada, sacás capturas de pantalla de todo — usuarios, policies, CloudTrail, el cargo en el Billing. Una vez que borrás o rotás algo, esa foto del momento exacto se pierde para siempre. Los tres lugares que hay que revisar, en orden 1. AWS Health Dashboard — ahí AWS reporta incidentes conocidos de sus propios servicios. En este caso, ahí apareció el dato que explicó todo. 2. Billing y Cost Explorer — ¿el cargo es un “estimated charge” o ya está facturado de verdad? No es lo mismo. 3. CloudTrail — el historial de cada acción en tu cuenta: quién, desde dónde, cuándo. Buscá usuarios o roles que no reconocés, cambios de policies, accesos desde regiones donde nunca trabajás. En su CloudTrail no había nada raro. Cero. Volvimos al Health Dashboard y ahí estaba: un bug conocido en el servicio que estima los gastos, que ese mismo día afectó a montones de cuentas al mismo tiempo. No era un hackeo. Era un número mal calculado que AWS le mostró como si fuera real. Si en tu caso SÍ es un hackeo real Si CloudTrail te muestra usuarios, roles o accesos que no reconocés, ahí sí hay que moverse rápido, en este orden: * Cambiar contraseña + agregar MFA a todos los usuarios comprometidos que encontraste (no solo el primero) * Desactivar las access keys comprometidas — o borrarlas y recrearlas * Invalidar las sesiones de STS activas * Revisar Cost Explorer buscando cargos inesperados en servicios y regiones que ni mirás normalmente * Contactar a soporte de AWS 🛡️ Cómo evitar vivir esto Todo esto se vive muy distinto si ya tenés resueltas algunas cosas de antes: ✅ AWS Budgets con alertas de costo — la misma alarma que le avisó a tiempo a mi amigo, en vez de enterarse con la factura ya cerrada ✅ MFA en TODOS los usuarios , sin excepciones, empezando por el root ✅ Mínimo privilegio en cada usuario y rol ✅ CloudTrail activo Ninguna te toma más de 15 minutos configurar. Y son la diferencia entre un diagnóstico claro en 5 minutos o borrar usuarios en pánico un viernes a la tarde. 🚀 ¿Querés dejar tu cuenta de AWS bien configurada desde el día uno? Tengo un curso gratuito de AWS Fundamentals donde vemos exactamente esto: cómo asegurar tu cuenta desde cero — MFA, alertas de billing, quién tiene acceso a qué — y los fundamentos que evitan que esto te pase. 🎯 ACCEDER AL CURSO GRATUITO This is a public episode. If you would like to discuss this with other subscribers or get access to bonus episodes, visit desplegando.substack.com