Northflank повідомив про злам: викрадені секрети і зловживання AI API‑ключами
Платформа Northflank 30 жовтня розкрила інцидент безпеки та закликала клієнтів негайно здійснити ротацію всіх секретів і облікових даних після повідомлень про несанкціоноване використання API‑ключів для AI‑провайдерів.
Платформа хмарного хостингу Northflank 30 жовтня повідомила про інцидент безпеки і закликала клієнтів терміново змінити всі секрети та ключі через несанкціоноване використання API‑ключів для AI‑провайдерів у частини користувачів.
Що сталося
За даними компанії, попередження про злам надійшло від Wiz об 11:43 UTC 30 жовтня. Інженери Northflank переглянули сповіщення майже миттєво, застосували мережевий патч, а також додаткові виправлення о 12:50 та 13:05 UTC. Платформа залучила команду реагування на інциденти Wiz.
Northflank порадив клієнтам виходити з припущення, що всі змінні середовища були розшифровані, а секрети — викрадені: «вимкніть/змініть усі ключі». Компанія заявила, що кілька клієнтів повідомили про несанкціоноване використання ключів доступу до AI‑сервісів, збережених на платформі.
Рекомендації для клієнтів
Користувачам радять негайно виконати ротацію всіх секретів, збережених у робочих навантаженнях, групах секретів і глобальних секретах, а також вимкнути публічний доступ до додаткових сервісів (add‑on), якщо він увімкнений.
Також компанія рекомендує перевірити журнали використання й білінгу у постачальників AI та повідомляти про підозрілу активність і Northflank, і самим провайдерам.
Дії Northflank
У межах реагування Northflank увімкнув ротацію облікових даних для PostgreSQL, MongoDB, MySQL і Redis. Крім того, компанія активувала журнали аудиту для всіх клієнтів, включно з безоплатними акаунтами, щоб допомогти в розслідуванні підозрілої активності.
Контекст: «Black October» для AI‑платформ
Wiz повідомляє про щонайменше дев’ять інцидентів у жовтні, що зачепили платформи для AI‑розробки, зокрема Northflank, Railway, OpenCode, Warp і Lightning AI. Дослідники кажуть, що зловмисники націлюються на змінні середовища з обліковими даними AI‑сервісів і зловживають ними через практику LLMJacking.
LLMJacking — це використання викрадених облікових даних для доступу до моделей від імені іншої організації, що може спричинити великі рахунки або перепродаж доступу. У двох випадках, які дослідив Wiz, скомпрометовані корпоративні ключі забезпечили приблизно 2,5 млн викликів Amazon Bedrock API та близько $100 000 витрат на AI‑використання.
Що відомо і чого ні
Northflank не розкрив, як саме зловмисники отримали доступ, скількох клієнтів торкнувся інцидент і чи були скомпрометовані інші облікові дані, крім згаданих API‑ключів для AI‑провайдерів. Компанія продовжує радити повну ротацію секретів і обмеження публічних доступів. За даними BleepingComputer, на запит щодо деталей інциденту відповіді поки що немає.
