La plateforme cloud Northflank a révélé un incident de sécurité le 30 octobre et demande à tous ses clients de partir du principe que leurs variables d’environnement ont été déchiffrées. Des utilisateurs signalent depuis l’usage frauduleux de clés d’API d’IA hébergées chez elle ; ni le point d’entrée ni le nombre de clients touchés ne sont connus.
Ce qui s’est passé
Le 30 octobre 2026, Northflank, plateforme d’hébergement d’applications, a publié un avis de sécurité sur sa page de statut. Sa chronologie débute à 11 h 43 UTC par une alerte de Wiz, examinée une minute plus tard par ses ingénieurs. Un premier correctif sur la politique réseau arrive à 12 h 02, d’autres à 12 h 50 et 13 h 05, et l’équipe de réponse à incident de Wiz est sollicitée à 13 h. À 13 h 58, l’entreprise demande à ses clients de considérer que toutes les variables d’environnement ont été déchiffrées. Sa page de statut indique ensuite que des utilisateurs ont signalé l’usage non autorisé de clés d’API d’IA confiées à la plateforme.
Qui est concerné et ce qu’on ignore encore
La consigne vaut pour tous les clients et couvre les secrets des charges de travail, les groupes de secrets et les secrets globaux. Au 31 octobre, Northflank n’avait publié ni cause initiale ni nombre de clients touchés, et précisait que l’enquête se poursuivait. L’entreprise estime que ces signalements pourraient s’inscrire dans une série d’attaques visant les identifiants d’IA et renvoie à un rapport de Wiz. Celui-ci recense au moins neuf plateformes de développement d’IA ayant révélé un incident en octobre et relève que les comptes rendus publics décrivent une exploitation ciblée des variables d’environnement stockées. Dans deux cas d’abus qu’il a étudiés, des clés volées ont généré environ 800 000 et 1,7 million d’appels à Amazon Bedrock, soit vraisemblablement plus de 100 000 dollars au tarif public. Selon BleepingComputer, Wiz n’a pas confirmé qu’un même groupe soit à l’origine de tous ces incidents.
Que faire maintenant
- Recensez tous vos secrets stockés chez Northflank : charges de travail, groupes de secrets et secrets globaux.
- Révoquez à la source : annulez chaque identifiant auprès de son émetteur, générez-en un nouveau, puis mettez à jour les charges de travail. Changer la valeur dans Northflank ne désactive pas une clé volée.
- Renouvelez les identifiants des modules avec la fonction intégrée, désormais disponible pour PostgreSQL, MongoDB, MySQL, Redis, MinIO et RabbitMQ, et coupez leur accès public.
- Contrôlez l’usage : examinez la facturation et les journaux de vos fournisseurs d’IA, les journaux d’audit désormais activés pour tous les clients Northflank et les accès à vos bases et comptes cloud. Signalez toute anomalie à Northflank et au fournisseur concerné.
- N’oubliez pas le reste : mots de passe de bases, comptes SMTP, secrets de webhooks et clés cloud rangés dans les mêmes variables sont aussi concernés.
Notre avis
Une plateforme d’hébergement fait partie de votre surface d’attaque : si elle tombe, tout ce que vous lui avez confié doit être tenu pour compromis. Privilégiez des identifiants à courte durée de vie et aux droits limités, plafonnez les dépenses des clés d’IA et testez votre procédure de renouvellement. Répétée, elle prend quelques minutes ; improvisée en pleine crise, elle peut prendre des jours.
Sources
- Northflank — Status page: Security incident
- Wiz — Black October for AI Developer Platforms
- BleepingComputer — Northflank security breach leads to abuse of customers' AI API keys
Comment nous choisissons, vérifions et rédigeons nos analyses →
La porte d’entrée était un tiers. Vérifiez ce que vos fournisseurs exposent publiquement — sans intrusion, uniquement des informations publiques :
Vous craignez que vos serveurs soient exposés ? Notre équipe audite, corrige et surveille vos infrastructures Linux et cloud 24h/24, 7j/7.
Parler à un expert Notre offre d’infogérance de serveurs →
