AWS na zawsze stracił dane klientów w Bahrajnie - trzy strefy okazały się jednym adresem

„Chmura” brzmi jak coś, co jest wszędzie i nigdzie. Tymczasem, jak napisał we wpisie na X Łukasz Olejnik, polski badacz cyberbezpieczeństwa i były doradca Międzynarodowego Komitetu Czerwonego Krzyża do spraw cyberwojny, okazało się, że chmura ma adres, a ten adres był w zasięgu drona.

We wtorek 15 września AWS, największy dostawca chmury na świecie, dopisał na stronie statusowej dwa komunikaty. W Bahrajnie firma „nie jest w stanie przywrócić dostępu do zasobów i danych przechowywanych wyłącznie w tym regionie”. W Emiratach to samo dotyczy jednej z trzech stref - mec1-az2. Pierwszy napisał o tym Reuters. To najpewniej pierwszy przypadek, w którym działania wojenne na trwałe skasowały fragment globalnej chmury.

Jak do tego doszło? Pod koniec lutego USA i Izrael zaatakowały Iran, a Iran odpowiedział uderzeniami na państwa Zatoki Perskiej. W niedzielę 1 marca w pierwsze centrum danych AWS w Emiratach uderzyły, jak to ujęła firma, „obiekty”: pożar, odcięte zasilanie. Dzień później przestała działać druga strefa w Emiratach, też po bezpośrednim trafieniu, i pierwsza w Bahrajnie, uszkodzona przez uderzenie drona tuż obok. Gaszenie pożarów dołożyło do tego zalanie. Bahrajn to siedziba amerykańskiej Piątej Floty. W kwietniu padła tam druga strefa i cały region przestał działać. W lipcu irańska Gwardia Rewolucyjna ogłosiła, że zniszczyła „pozostałą strukturę” centrum Amazona. W komunikatach AWS słowo „Iran” nie pada ani razu.

Wszystko, co firma publicznie powiedziała w tej sprawie, to 38 wpisów na stronie statusowej, z przerwą od 30 kwietnia do 15 września. Bez wpisu na blogu, bez komunikatu prasowego i na razie bez raportu po awarii, który AWS publikuje po dużych incydentach (formalnie zdarzenie wciąż jest otwarte). Firma nie podała, ile danych przepadło ani ilu klientów to dotyczy. Pisze tylko, że „większość” zdążyła się przenieść. The Register poprosił o komentarz i usłyszał, że AWS nie ma nic do dodania.

A słynne jedenaście dziewiątek? Usługa S3 jest według AWS zaprojektowana tak, by trwałość danych wynosiła 99,999999999 procent. Tyle że ta liczba dotyczy jednego regionu i uwzględnia utratę najwyżej jednej strefy. Według dokumentacji strefy dzieli „wiele kilometrów”, ale żadna nie leży dalej niż 100 km od pozostałych. Dla awarii zasilania to trzy niezależne miejsca. Dla rakiety to jeden cel. Olejnik ujął to tak: wiele stref chroni przed pożarem w jednym budynku, nie przed wojną. Sam AWS opisał to 2 marca: po utracie pierwszej strefy S3 działał normalnie, a gdy padła druga, zaczęły się błędy. Dokumentacja mówi też wprost, że obiekty „nigdy nie opuszczają regionu, chyba że sam je przeniesiesz”.

Umowa też nie pozostawia złudzeń. Za kopie zapasowe odpowiada klient. AWS nie odpowiada za „wartość twoich treści”, łączna odpowiedzialność kończy się na kwocie zapłaconej w ciągu ostatnich 12 miesięcy, a na liście zdarzeń siły wyższej jest wojna. Gwarancje SLA dotyczą wyłącznie dostępności usługi, o trwałości danych nie ma w nich słowa. Publicznie AWS obiecał jedno: zawieszenie opłat w obu regionach. Według doniesień Forbesa klienci dostali też po marcowych atakach około 150 mln dolarów w kredytach na usługi.

Łatwo powiedzieć, że sami sobie winni, bo kto nie trzyma kopii gdzie indziej? Tylko że w Bahrajnie, jak twierdzi na Hacker News anonimowy dostawca, który tam działał, nikt nie trzyma danych bez prawnego wymogu, by zostały w kraju. Ostrzeżenia od AWS przychodziły na okrągło, ale jego firma miała umowny i prawny zakaz kopiowania danych za granicę, nawet zaszyfrowanych. „Mogliśmy najwyżej poradzić klientom, żeby ściągnęli wszystko do biura albo na laptopy pracowników”. Drugi komentujący, którego klienci działali w Bahrajnie, pisze, że po utracie pierwszej strefy jego firma chciała wynieść dane choćby jako kopie archiwalne, ale dział prawny szybko to uciął. Bank centralny Emiratów na początku konfliktu tymczasowo złagodził wymóg trzymania danych bankowych w kraju, jak podał The Banker.

Najczęściej komentowany wpis w wątku na Hacker News to cytat z 2017 roku. Dziennikarz CBS zapytał Matta Wooda z AWS, co by było, gdyby ktoś wysadził jedno z centrów danych firmy. Wood odpowiedział ze śmiechem: „Nie zauważyłby pan. My może bylibyśmy trochę źli, ale pan by nie zauważył”. W innej gałęzi tego wątku odezwał się Danny O'Brien, były dyrektor w Electronic Frontier Foundation, który, jak sam pisze, w poprzedniej dekadzie tłumaczył politykom, że rozproszenie danych po świecie to zaleta. Jego zdaniem zamiast pytać, w jakim kraju leżą dane, trzeba było pytać, kto ma klucze szyfrujące i uprawnienia administratora.

Dlaczego to ważne w Polsce? Bo AWS nie ma u nas regionu. W Warszawie ma tylko mniejszą, wysuniętą lokalizację (Local Zone), która jest częścią regionu we Frankfurcie, więc polska firma „w chmurze Amazona” ma dane najczęściej właśnie tam, w jednym regionie, chyba że sama zapłaciła za kopię gdzie indziej. Google i Microsoft mają w Warszawie pełne regiony ze strefami dostępności, ale to też jeden adres. Banki, ubezpieczycieli i resztę sektora finansowego od stycznia 2025 roku obowiązuje unijne rozporządzenie DORA, które każe oceniać ryzyko uzależnienia od jednego dostawcy. Pozostałe firmy mają tylko zdrowy rozsądek. Europa coraz głośniej mówi o suwerenności danych, czyli o trzymaniu ich u siebie. A w Bahrajnie przepadły właśnie te dane, którym prawo nie pozwoliło wyjechać.

Na sąd też nie ma co liczyć. Po pożarze serwerowni OVH w Strasburgu w 2021 roku sąd w Lille przyznał około 100 tys. euro firmie, która płaciła za automatyczne tworzenie kopii zapasowej. Kopia leżała w tym samym budynku co serwer i przepadła razem z nim. W 2025 roku sąd apelacyjny obciął tę kwotę do 1800 euro, bo umowa nie obiecywała, że kopia będzie gdzie indziej. Dlatego zapytaj dziś swojego dostawcę o jedno: gdzie fizycznie leży moja kopia? Jeżeli pod tym samym adresem co oryginał, to żadna kopia.

Region - w AWS grupa centrów danych w jednej okolicy, podzielona na co najmniej trzy strefy dostępności (availability zones), każda z osobnym zasilaniem i łączami. S3 - usługa przechowywania plików w AWS. SLA - gwarancja poziomu usługi, zwykle jej dostępności przez ustalony procent czasu. Local Zone - wysunięta lokalizacja AWS w dużym mieście, podpięta pod region nadrzędny. DORA - unijne rozporządzenie o odporności cyfrowej sektora finansowego, stosowane od 17 stycznia 2025 roku.