Una tarjeta caducada dejó fuera de línea sitios de clientes alojados en AWS

Una alerta de facturación de AWS no atendida fue suficiente para dejar fuera de línea la semana pasada los sitios web de los clientes de Christopher Bradbury y el correo alojado, después de que una tarjeta de pago caducada provocara problemas en una cuenta vinculada a Route 53.

Bradbury, que dirige la firma de diseño y desarrollo web Digital Takumi, dijo a The Register que el jueves 16 de julio descubrió que todos los sitios web y las cuentas de correo de Google Workspace vinculadas a los dominios que gestiona estaban caídos. Los dominios estaban alojados a través de Route 53 y ninguno de ellos resolvía.

La causa resultó ser sencilla al principio: AWS había enviado múltiples avisos de que la tarjeta de pago registrada había caducado y de que la cuenta sería suspendida a menos que se tomara acción. Pero esos mensajes terminaron en una carpeta de spam y algunos se enviaron a un empleado que ya había dejado la empresa.

Recomendado

OVH reinició masivamente hosts para parchear el fallo Januscape

"AWS había estado enviando notificaciones de facturación, pero, desafortunadamente, habían sido filtradas a una carpeta de spam y, en algunos casos, se entregaban a un empleado que desde entonces había dejado la empresa."

Bradbury dijo que aceptó la responsabilidad, pero el problema de facturación rápidamente expuso problemas más profundos. El inicio de sesión root de la cuenta usaba MFA mediante un autenticador de software guardado en un portátil antiguo que desde entonces había sufrido un fallo de la placa base. En lugar de arreglar eso, había estado confiando en códigos de recuperación enviados por correo electrónico.

Eso se convirtió en otro callejón sin salida porque la dirección de correo root registrada estaba en uno de los dominios alojados en la cuenta de AWS ahora suspendida. Con el DNS caído, no pudo recibir el correo de verificación necesario para recuperar el acceso.

Cómo falló la recuperación de la cuenta

Bradbury entonces intentó contactar a AWS desde una dirección de correo diferente e incluso creó una cuenta de AWS separada para comprar soporte empresarial. Según él, el personal de soporte aún no quería tratar el caso de la cuenta original hasta que pudiera verificar la propiedad.

"Durante los días siguientes hablé con varios equipos de AWS, incluidos Facturación y Recuperación de Cuentas. Me transfirieron entre equipos varias veces, pero nadie pudo completar la verificación de propiedad ni restaurar el acceso a la cuenta."

Mientras The Register trabajaba en la noticia, Bradbury dijo que los sitios fueron restaurados. Volvió a iniciar sesión, pagó las facturas vencidas, actualizó el método de pago, restableció sus claves MFA y corrigió la configuración de recuperación.

Su consejo es directo:

• Paga tus facturas de AWS
• Mantén la dirección de correo de recuperación fuera del mismo dominio gestionado por esa cuenta de AWS
• No tomes atajos con el MFA

Como dijo Bradbury, esto no era un despliegue de infraestructura importante, solo "un sitio web de marketing de una sola empresa y algunos dominios a través de Route 53". Aun así, era lo bastante crítico para el negocio como para paralizarlo todo.