La piattaforma cloud Northflank ha reso noto un incidente di sicurezza il 30 ottobre e chiede a tutti i clienti di presumere che le variabili d’ambiente siano state decifrate. Da allora gli utenti segnalano l’uso non autorizzato di chiavi API di IA conservate sulla piattaforma; punto di ingresso e numero di clienti coinvolti non sono noti.
Cosa è successo
Il 30 ottobre 2026 la piattaforma di hosting di applicazioni Northflank ha pubblicato un avviso di sicurezza sulla propria pagina di stato. La cronologia inizia alle 11:43 UTC con un allarme di Wiz, esaminato dai suoi ingegneri un minuto dopo. Alle 12:02 è arrivata una prima patch della policy di rete, alle 12:50 e alle 13:05 altre patch, e alle 13:00 è stato chiesto il supporto del team di risposta agli incidenti di Wiz. Alle 13:58 l’azienda ha invitato i clienti a presumere che tutte le variabili d’ambiente fossero state decifrate. In seguito la pagina di stato ha riferito segnalazioni di utenti sull’uso non autorizzato di chiavi API di IA affidate alla piattaforma.
Chi è coinvolto e cosa resta da chiarire
L’indicazione vale per tutti i clienti e riguarda i segreti dei carichi di lavoro, i gruppi di segreti e i segreti globali. Al 31 ottobre Northflank non aveva pubblicato né la causa né il numero di clienti coinvolti e spiegava che l’indagine era in corso. L’azienda ritiene che le segnalazioni possano rientrare in una serie più ampia di attacchi alle credenziali di IA e rimanda a un rapporto di Wiz. Quest’ultimo conta almeno nove piattaforme di sviluppo di IA che hanno reso noti incidenti in ottobre e osserva che i resoconti pubblici descrivono uno sfruttamento mirato delle variabili d’ambiente memorizzate. In due casi di abuso esaminati, chiavi rubate hanno generato circa 800.000 e 1,7 milioni di chiamate ad Amazon Bedrock, probabilmente oltre 100.000 dollari a prezzo di listino. Secondo BleepingComputer, Wiz non ha confermato che un unico gruppo sia dietro tutti gli incidenti.
Cosa fare ora
- Censite tutti i segreti conservati in Northflank: carichi di lavoro, gruppi di segreti e segreti globali.
- Revocate alla fonte: annullate ogni credenziale presso chi l’ha emessa, generatene una nuova e aggiornate i carichi di lavoro. Cambiare il valore solo in Northflank non disattiva una chiave rubata.
- Rinnovate le credenziali dei componenti aggiuntivi con la funzione integrata, ora disponibile per PostgreSQL, MongoDB, MySQL, Redis, MinIO e RabbitMQ, e disattivatene l’accesso pubblico.
- Controllate l’utilizzo: esaminate fatturazione e log dei fornitori di IA, i log di audit ora attivi per tutti i clienti Northflank e gli accessi a database e account cloud. Segnalate ogni anomalia a Northflank e al fornitore interessato.
- Non dimenticate il resto: password dei database, account SMTP, segreti dei webhook e chiavi cloud conservati nelle stesse variabili sono ugualmente coinvolti.
Il nostro parere
Una piattaforma di hosting fa parte della vostra superficie di attacco: se viene violata, tutto ciò che le avete affidato va considerato compromesso. Preferite credenziali di breve durata e con permessi ridotti, fissate limiti di spesa per le chiavi di IA e collaudate la procedura di rinnovo. Provata richiede minuti; improvvisata durante una crisi può richiedere giorni.
Fonti
- Northflank — Status page: Security incident
- Wiz — Black October for AI Developer Platforms
- BleepingComputer — Northflank security breach leads to abuse of customers' AI API keys
Come scegliamo, verifichiamo e scriviamo le nostre analisi →
La porta d’ingresso è stata una terza parte. Verificate cosa espongono pubblicamente i vostri fornitori — senza intrusione, solo informazioni pubbliche:
Temi che i tuoi server siano esposti? Il nostro team verifica, aggiorna e monitora infrastrutture Linux e cloud 24/7.
Parla con un esperto I nostri servizi di gestione server →
