A plataforma cloud Northflank revelou um incidente de segurança em 30 de outubro e pediu a todos os clientes que assumam que as suas variáveis de ambiente foram decifradas. Desde então, utilizadores relatam o uso não autorizado de chaves de API de IA ali guardadas; o ponto de entrada e o número de clientes afetados não são conhecidos.
O que aconteceu
Em 30 de outubro de 2026, a plataforma de alojamento de aplicações Northflank publicou um aviso de segurança na sua página de estado. A cronologia começa às 11:43 UTC com um alerta da Wiz, analisado pelos seus engenheiros um minuto depois. Às 12:02 chegou uma primeira correção da política de rede, às 12:50 e 13:05 outras correções, e às 13:00 foi pedido apoio à equipa de resposta a incidentes da Wiz. Às 13:58, a empresa pediu aos clientes que assumissem que todas as variáveis de ambiente tinham sido decifradas. Mais tarde, a página de estado indicou que utilizadores relataram o uso não autorizado de chaves de API de IA confiadas à plataforma.
Quem é afetado e o que continua por saber
A orientação aplica-se a todos os clientes e abrange os segredos das cargas de trabalho, os grupos de segredos e os segredos globais. A 31 de outubro, a Northflank não tinha publicado nem a causa nem o número de clientes afetados, e referia que a investigação prosseguia. A empresa considera que estes relatos podem enquadrar-se numa série mais ampla de ataques a credenciais de IA e remete para um relatório da Wiz. Este contabiliza pelo menos nove plataformas de desenvolvimento de IA que revelaram incidentes em outubro e observa que os relatos públicos descrevem uma exploração dirigida de variáveis de ambiente armazenadas. Em dois casos de abuso que estudou, chaves roubadas geraram cerca de 800 000 e 1,7 milhões de chamadas ao Amazon Bedrock, provavelmente mais de 100 000 dólares a preço de tabela. Segundo o BleepingComputer, a Wiz não confirmou que um mesmo grupo esteja por trás de todos os incidentes.
O que fazer agora
- Inventarie todos os segredos guardados na Northflank: cargas de trabalho, grupos de segredos e segredos globais.
- Revogue na origem: anule cada credencial junto de quem a emitiu, gere uma nova e atualize as cargas de trabalho. Alterar o valor apenas na Northflank não desativa uma chave roubada.
- Renove as credenciais dos complementos com a função integrada, já disponível para PostgreSQL, MongoDB, MySQL, Redis, MinIO e RabbitMQ, e desative o seu acesso público.
- Verifique a utilização: analise a faturação e os registos dos fornecedores de IA, os registos de auditoria agora ativos para todos os clientes da Northflank e os acessos a bases de dados e contas cloud. Comunique qualquer anomalia à Northflank e ao fornecedor em causa.
- Não esqueça o resto: palavras-passe de bases de dados, contas SMTP, segredos de webhooks e chaves cloud guardados nas mesmas variáveis também estão em causa.
A nossa opinião
Uma plataforma de alojamento faz parte da sua superfície de ataque: se for comprometida, tudo o que lhe confiou deve ser considerado comprometido. Prefira credenciais de curta duração e com permissões limitadas, defina limites de despesa para as chaves de IA e teste o seu procedimento de renovação. Ensaiado demora minutos; improvisado em plena crise pode demorar dias.
Fontes
- Northflank — Status page: Security incident
- Wiz — Black October for AI Developer Platforms
- BleepingComputer — Northflank security breach leads to abuse of customers' AI API keys
Como escolhemos, verificamos e escrevemos nossas análises →
A porta de entrada foi um terceiro. Verifique o que seus fornecedores expõem publicamente — sem intrusão, apenas informações públicas:
Preocupado com a exposição dos seus servidores? Nossa equipe audita, corrige e monitora infraestruturas Linux e cloud 24/7.
Fale com um especialista Nossos serviços de gestão de servidores →
