La plataforma en la nube Northflank reveló un incidente de seguridad el 30 de octubre y pidió a todos sus clientes que asuman que sus variables de entorno se descifraron. Desde entonces, usuarios denuncian el uso no autorizado de claves de API de IA almacenadas allí; no se conocen ni el punto de entrada ni el número de clientes afectados.
Qué ha pasado
El 30 de octubre de 2026, la plataforma de alojamiento de aplicaciones Northflank publicó un aviso de seguridad en su página de estado. Su cronología empieza a las 11:43 UTC con una alerta de Wiz, revisada por sus ingenieros un minuto después. A las 12:02 llegó un primer parche de la política de red, a las 12:50 y 13:05 otros parches, y a las 13:00 se solicitó ayuda al equipo de respuesta a incidentes de Wiz. A las 13:58, la empresa pidió a sus clientes que asumieran que todas las variables de entorno se habían descifrado. Más tarde, su página de estado indicó que varios usuarios habían denunciado el uso no autorizado de claves de API de IA confiadas a la plataforma.
A quién afecta y qué se desconoce
La indicación se aplica a todos los clientes y abarca los secretos de las cargas de trabajo, los grupos de secretos y los secretos globales. A 31 de octubre, Northflank no había publicado ni la causa ni el número de clientes afectados, y señalaba que la investigación continuaba. La empresa cree que estos avisos pueden encajar en una serie más amplia de ataques contra credenciales de IA y remite a un informe de Wiz. Este contabiliza al menos nueve plataformas de desarrollo de IA que revelaron incidentes en octubre y señala que los informes públicos describen una explotación dirigida de las variables de entorno almacenadas. En dos casos de abuso que estudió, claves robadas generaron unas 800.000 y 1,7 millones de llamadas a Amazon Bedrock, probablemente más de 100.000 dólares a precio de lista. Según BleepingComputer, Wiz no ha confirmado que un mismo grupo esté detrás de todos los incidentes.
Qué hacer ahora
- Inventaríe todos los secretos guardados en Northflank: cargas de trabajo, grupos de secretos y secretos globales.
- Revoque en origen: anule cada credencial ante su emisor, genere una nueva y actualice las cargas de trabajo. Cambiar el valor solo en Northflank no desactiva una clave robada.
- Renueve las credenciales de los complementos con la función integrada, ya disponible para PostgreSQL, MongoDB, MySQL, Redis, MinIO y RabbitMQ, y desactive su acceso público.
- Compruebe el uso: revise la facturación y los registros de sus proveedores de IA, los registros de auditoría ya activados para todos los clientes de Northflank y los accesos a bases de datos y cuentas en la nube. Comunique cualquier anomalía a Northflank y al proveedor correspondiente.
- No olvide el resto: contraseñas de bases de datos, cuentas SMTP, secretos de webhooks y claves de la nube guardados en las mismas variables también están afectados.
Nuestra opinión
Una plataforma de alojamiento forma parte de su superficie de ataque: si cae, todo lo que le ha confiado debe considerarse comprometido. Prefiera credenciales de corta duración y permisos limitados, ponga topes de gasto a las claves de IA y pruebe su procedimiento de renovación. Ensayado lleva minutos; improvisado en plena crisis puede llevar días.
Fuentes
- Northflank — Status page: Security incident
- Wiz — Black October for AI Developer Platforms
- BleepingComputer — Northflank security breach leads to abuse of customers' AI API keys
Cómo elegimos, verificamos y redactamos nuestros análisis →
La puerta de entrada fue un tercero. Compruebe lo que sus proveedores exponen públicamente, sin intrusión y solo con información pública:
¿Le preocupa que sus servidores estén expuestos? Nuestro equipo audita, parchea y supervisa infraestructuras Linux y cloud 24/7.
Hablar con un experto Nuestros servicios de servidores gestionados →
