The Pulse
Northflank invita i clienti a sostituire i segreti dopo un incidente di sicurezza
Northflank ha invitato i clienti a considerare compromesse le variabili d’ambiente e a sostituire i segreti memorizzati, dopo alcune segnalazioni di uso non autorizzato di chiavi API per l’IA. La pagina di stato dell’azienda segnala gravi d
AI.info Team · Scritto con l’IA · verificato ·
«Presumete che tutte le variabili d’ambiente siano state decifrate. Disabilitate o sostituite tutte le chiavi.»
Northflank, nell’avviso sulla sua pagina di stato
L’avviso di Northflank: considerare esposti i segreti memorizzati
Northflank ha diramato l’avviso il 30 ottobre 2026, dopo aver ricevuto una segnalazione di minaccia dalla società di sicurezza cloud Wiz. L’azienda ha invitato gli utenti a presumere che le variabili d’ambiente sulla sua piattaforma siano state decifrate e a disabilitare o sostituire le chiavi in esse memorizzate. Le indicazioni riguardano i segreti nei carichi di lavoro, nei gruppi di segreti e i segreti globali.
Northflank ha consigliato ai clienti di revocare le credenziali esposte presso i fornitori che le hanno emesse, crearne di nuove e poi aggiornare i segreti e i carichi di lavoro interessati. Ha inoltre raccomandato di disabilitare l’accesso pubblico ai componenti aggiuntivi, ove abilitato.
I clienti segnalano l’uso non autorizzato di chiavi per l’IA
In un aggiornamento del 30 ottobre, Northflank ha affermato che diversi utenti stavano confermando l’utilizzo delle loro chiavi per l’IA. Un aggiornamento successivo ha riferito che gli utenti avevano segnalato l’uso non autorizzato di chiavi API per l’IA fornite alla piattaforma. L’aggiornamento invitava i clienti a controllare i registri di utilizzo e fatturazione dei fornitori di IA alla ricerca di attività inattese e a segnalare gli utilizzi sospetti al servizio di assistenza di Northflank e al fornitore interessato.
Il 30 ottobre Northflank ha dichiarato che l’indagine era in corso e che non aveva altri risultati confermati da condividere. Nel suo avviso l’azienda chiede ai clienti di presumere che vi sia stata una compromissione; l’avviso non stabilisce che tutti i segreti memorizzati siano stati consultati o rubati.
La segnalazione di Wiz precede le patch e la sostituzione delle credenziali
La cronologia di Northflank inizia con una segnalazione di minaccia di Wiz alle 11:43 UTC del 30 ottobre. Gli ingegneri di Northflank l’hanno esaminata un minuto dopo, hanno distribuito una prima patch per le policy di rete alle 12:02 UTC e ne hanno aggiunte altre alle 12:50 e alle 13:05 UTC. L’azienda ha chiesto aiuto al team di risposta agli incidenti di Wiz alle 13:00 UTC.
Northflank ha successivamente abilitato la sostituzione dei segreti per PostgreSQL e MongoDB, annunciando poi il 31 ottobre che quella per MySQL e Redis era disponibile per tutti i clienti. Ha inoltre abilitato i registri di audit per ogni cliente, compresi gli utenti del servizio gratuito. Nel suo ultimo aggiornamento, alle 13:34 UTC del 31 ottobre, l’azienda ha chiesto ai clienti di sostituire tutti i segreti, se non lo avevano già fatto.
Wiz offre un contesto, non un’attribuzione
Nell’aggiornamento del 30 ottobre, Northflank ha affermato che le segnalazioni di uso non autorizzato delle chiavi potrebbero rientrare in un quadro più ampio di attacchi alle credenziali per l’IA e ha osservato che nel rapporto di Wiz compaiono indirizzi IP simili. Wiz ha contato almeno nove piattaforme per sviluppatori di IA che avevano reso noti incidenti nel corso di ottobre. Il rapporto affermava che non erano disponibili informazioni tecniche dettagliate sulla maggior parte degli incidenti e non stabiliva che dietro ogni caso ci fosse lo stesso autore.
La pagina di stato di Northflank segnala gravi disservizi per rete, certificati, servizi, componenti aggiuntivi, job, build, log e metriche. L’app e l’API di Northflank risultano operative; la pagina di stato non afferma che i disservizi siano stati causati dalla risposta all’incidente di sicurezza.
Sentry, cliente di Northflank, ha dichiarato che la sua presenza sulla piattaforma non comprende infrastrutture di produzione e che non ha trovato prove del coinvolgimento dei dati dei suoi clienti o dei servizi a loro rivolti. Sentry ha affermato di aver iniziato a sostituire i segreti e a sospendere le distribuzioni attive «per eccesso di prudenza», per poi esaminare i registri di accesso di tutti i servizi esposti.
L’aggiornamento della pagina di stato del 30 ottobre, pubblicato alle 23:38 UTC, contiene le istruzioni per revocare le credenziali esistenti presso i fornitori che le hanno emesse, generarne di nuove, aggiornare i segreti e i carichi di lavoro interessati, controllare i registri di utilizzo e fatturazione dei fornitori e segnalare le attività sospette. L’aggiornamento del 31 ottobre si concentra sulla sostituzione dei segreti che i clienti non hanno ancora sostituito.