Ключ, который мог попасть к постороннему, нужно отозвать у выдавшего его сервиса. Замена значения в настройках приложения не аннулирует старый доступ.
От сетевых исправлений до смены ключей
По данным Northflank, предупреждение от Wiz поступило 30 октября в 11:43 UTC. В течение следующих полутора часов команда внесла несколько исправлений и обратилась к специалистам Wiz CIRT за помощью в расследовании. Позднее платформа потребовала сменить секреты в настройках приложений, группах секретов и глобальных настройках. Клиентам также рекомендовали закрыть доступ из интернета к дополнительным сервисам, например базам данных, если такой доступ был включён.
В 23:38 UTC того же дня Northflank сообщила о жалобах на использование API-ключей к ИИ-сервисам без разрешения владельцев. Клиентам рекомендовали отозвать прежние ключи у провайдеров, проверить историю запросов и списания средств. 31 октября платформа предоставила всем клиентам, включая владельцев бесплатных аккаунтов, доступ к журналам аудита и расширила возможности смены паролей и ключей для дополнительных сервисов.
Что пока не установлено
Требование считать все секреты раскрытыми — мера предосторожности на время расследования. Оно не означает, что у каждого клиента действительно похитили все ключи и пароли. К 1 ноября компания ещё не раскрыла окончательный масштаб инцидента и подробности того, как злоумышленники получили доступ.
Владельцам приложений придётся проверить и подключённые сервисы. В переменных окружения могут храниться пароли баз данных, токены почтовых сервисов и ключи внешних API. Для каждого из них важно выяснить, какие данные и операции стали бы доступны постороннему: чтение базы, отправка писем, платные запросы или изменение настроек.
Замены ключа в приложении недостаточно
После замены убедитесь, что приложение работает с новым ключом, а старый отозван у сервиса, который его выдал. Если просто записать новое значение в настройках Northflank, прежний ключ может остаться действующим. Перезапуск приложения его тоже не аннулирует.
Стоит проверить и действия, совершённые до отзыва ключей: запросы к ИИ-сервисам, обращения к базе данных, отправку писем. Сохранённые журналы помогут выяснить, что произошло и какие данные могли пострадать. Чтобы не искать нужные доступы во время следующего инцидента, для каждого ключа полезно заранее записать, кто за него отвечает, какие права он даёт и где его можно отозвать.
Редакция EALP · Обновлено