ИИтог

Northflank сообщила об инциденте безопасности: пользователям велено сменить все ключи

безопасностьРедакция ИИтогHacker News🔥72Рейтинг ИИтог72Влияние60Новизна70Релевантность70Неожиданность65Участники20Достоверность75

На странице статуса платформы Northflank 30-31 октября 2026 года висит открытый инцидент безопасности со статусом «Identified» (причина определена) и пометкой «Major outage» (крупный сбой). Слово «взлом» (breach) на странице не используется, событие названо именно «Security incident».

В состоянии крупного сбоя находятся семь компонентов: сеть (Networking), сертификаты (Certificates), сервисы (Services), аддоны (Addons), задания (Jobs), сборки (Builds), а также логи и метрики (Logs and Metrics). Сама панель Northflank App, API, маркетинговый сайт и документация показаны как работающие; аптайм App, 99,82%, у API, сайта и документации, 100,0%. Общий аптайм платформы в сводке страницы, 99,18%.

Хроника по обновлениям на странице. 30 октября в 1:40 PM статус «Investigating» (расследование): пользователям сказали сменить переменные окружения. В обновление включена хроника инцидента: 11:43, тревога от Wiz (threat alert), 11:44, инженеры Northflank изучили её, 12:02, первый патч сетевых политик, 12:50 и 13:05, дополнительные патчи, 13:00, запрошена помощь Wiz CIRT. В 1:58 PM статус сменился на «Identified»: переменные окружения могли быть расшифрованы, поэтому все ключи нужно отключить или заменить. В 3:12 PM компания включила ротацию секретов для Postgres и MongoDB, посоветовала отключить публичный доступ к аддонам и сменить секреты у рабочих нагрузок, групп секретов и глобальных секретов; тогда же сообщалось, что несколько пользователей увидели использование своих ИИ-ключей.

В 7:28 PM расследование продолжалось без новых подтверждённых выводов; рекомендация, считать скомпрометированными все переменные окружения. В 11:38 PM Northflank написала, что пользователи сообщают о несанкционированном использовании ключей API ИИ-сервисов, хранившихся на платформе. Пользователям предложено отозвать учётные данные у провайдеров, выпустить новые, обновить секреты и нагрузки и проверить использование и счета у ИИ-провайдеров. Последнее обновление, 31 октября, 1:04 AM: журналы аудита включены для всех клиентов, включая бесплатных.

Итог рекомендации: кто пользуется Northflank, должен сменить все секреты и учётные данные, хранящиеся там, включая ключи ИИ-провайдеров, и проверить, нет ли неожиданной активности в счетах. Причина и вектор атаки на странице не названы.

Ключевые факты

  • Northflank ведёт открытый инцидент безопасности: крупные сбои в сети, сертификатах, сервисах, аддонах, заданиях, сборках, логах и метриках.
  • Компания сообщила, что переменные окружения могли быть расшифрованы, и посоветовала отключить или сменить все ключи; позже рекомендовала считать скомпрометированными все переменные окружения.
  • Пользователи сообщают о несанкционированном использовании ИИ-ключей, хранившихся на платформе; число пострадавших и суммы на странице не указаны.
  • В хронике: тревога от Wiz, патчи сетевых политик, запрос помощи Wiz CIRT; включена ротация секретов для Postgres и MongoDB и журналы аудита для всех клиентов.
  • Причина и способ проникновения на странице не названы, срок восстановления не обещан.

Почему это важно

Платформа хранит у клиентов переменные окружения и секреты, а сообщения о чужом использовании ИИ-ключей показывают, что последствия инцидента уже вышли за пределы самой платформы: платить за чужие запросы к ИИ-провайдерам придётся владельцам ключей. При этом сама Northflank пока признаёт лишь, что переменные «могли быть расшифрованы».

Кому это важно

Всем, кто размещает приложения, базы данных, задания и сборки на Northflank, и особенно тем, кто хранит там ключи ИИ-провайдеров, пароли баз данных и другие секреты в переменных окружения или группах секретов.

Как это применить

Следуя рекомендациям Northflank: отозвать учётные данные у провайдеров и выпустить новые, обновить секреты в рабочих нагрузках, группах секретов и глобальных секретах, отключить публичный доступ к аддонам, воспользоваться включённой ротацией секретов для Postgres и MongoDB, а также проверить использование и счета у ИИ-провайдеров на предмет неожиданной активности. Журналы аудита теперь включены для всех клиентов, включая бесплатных.

Можно ли доверять

Источник, собственная страница статуса компании, то есть первичный. Но известный нам текст страницы, это пересказ, а не дословная копия, а список компонентов приведён дословно. Сообщения об использовании ИИ-ключей на странице подаются как заявления пользователей, а не подтверждённые выводы расследования. Причина инцидента, число затронутых клиентов и ущерб не раскрыты.

Риски и подводные камни

Инцидент ещё открыт, картина может измениться: формулировка «могли быть расшифрованы» не равна подтверждению. Для ключей, которые уже могли попасть в чужие руки, важна скорость замены. Крупные сбои в сети, сборках и сервисах могут мешать самой смене секретов и перевыкатке нагрузок, а срок восстановления не указан.