Billing + AWSAccountManagementFullAccess

AWSAccountManagementFullAccess permite alterar os contatos alternativos da conta — inclusive o contato de faturamento e o de segurança, que são para onde a AWS envia notificação quando algo relevante acontece. A policy Billing administra pagamento e relatórios. Quem controla os dois pode redirecionar a notificação para longe de quem deveria conferi-la.

A notificação de cobrança ou de incidente deixa de chegar a quem tem a obrigação de revisá-la, e a alteração do contato não costuma estar em nenhuma lista de alertas.

• Definir os contatos alternativos por Organizations, a partir da conta de gestão, e bloquear alteração local por SCP.
• Usar caixas de e-mail de grupo, nunca endereços pessoais, nos contatos de faturamento e segurança.
• Alertar sobre PutAlternateContact e revisar os contatos de todas as contas trimestralmente.

• https://docs.aws.amazon.com/accounts/latest/reference/manage-acct-update-contact-alternate.html