Northflank-Einbruch: Alle Umgebungsvariablen gelten als offengelegt
Victoria Shinder1 Min. LesezeitNorthflank, eine Plattform zum Betrieb von Containern, Datenbanken und Jobs, befindet sich seit dem 30. Oktober in einem Sicherheitsvorfall. Die öffentliche Statusseite führt Netzwerk, Zertifikate, Dienste, Addons, Jobs, Builds sowie Logs als schweren Ausfall und gibt vor allem eine Anweisung: Alle Umgebungsvariablen als entschlüsselt betrachten und jedes Secret und jede Zugangsdaten rotieren.
Die Zeitleiste beginnt mit einem Bedrohungsalarm der Sicherheitsfirma Wiz um 11:43 UTC, den Northflank eine Minute später prüfte. Ein erster Netzwerk-Patch folgte um 12:02 UTC, weitere um 12:50 und 13:05 Uhr, um 13:00 Uhr wurde das Incident-Response-Team von Wiz hinzugezogen. Die Rotationsempfehlung erschien um 13:40 und 13:58 UTC; um 15:12 UTC meldete Northflank, dass die Rotation von Secrets für Postgres- und MongoDB-Addons für alle Nutzer freigeschaltet sei, und fügte hinzu, dass „mehrere Nutzer bestätigen, dass ihre KI-Schlüssel verwendet wurden“. Außerdem rät das Unternehmen, die öffentliche Erreichbarkeit von Addons abzuschalten.
Um 23:38 UTC hieß es, Nutzer hätten unbefugte Verwendung von KI-API-Schlüsseln gemeldet, die auf der Plattform hinterlegt waren. Sie sollen diese beim jeweiligen Anbieter widerrufen, Nutzungs- und Abrechnungsprotokolle prüfen und Auffälligkeiten melden. Die Meldungen könnten laut Northflank zu einer breiteren Kampagne gegen KI-Zugangsdaten passen, die Wiz beschrieben hat. Am 31. Oktober um 01:04 UTC wurden Audit-Logs für alle Kunden aktiviert, auch für kostenlose Konten. Am 30. Oktober um 19:28 UTC gab es nach Angaben des Unternehmens keine weiteren bestätigten Erkenntnisse; wie die Angreifer hineinkamen, sagt die Seite nicht.
Was das bedeutet
Für Northflank-Kunden ist die Liste nicht optional: Secrets an Workloads, Secret-Gruppen und globale Secrets zählen alle, und der Widerruf muss beim Aussteller geschehen, denn ein neuer Wert in Northflank macht einen bereits kopierten Schlüssel nicht ungültig. KI-Schlüssel wurden als Erste missbraucht gemeldet; die Abrechnungsübersichten der Anbieter zeigen am schnellsten, ob ein Schlüssel benutzt wurde.