La plataforma de hosting Northflank advirtió a sus clientes que roten todas sus claves API y credenciales tras una brecha de seguridad que permitió el robo de variables de entorno. El incidente es parte de una ola de ataques a plataformas de IA (denominada "Black October") donde los hackers roban claves para generar cargos costosos o revender el acceso a modelos de lenguaje. Northflank ya aplicó parches de seguridad y habilitó registros de auditoría para ayudar a los usuarios afectados.



La plataforma de alojamiento de aplicaciones en la nube Northflank está advirtiendo a sus clientes que rotar todas las credenciales y secretos almacenados en su plataforma después de que una brecha de seguridad provocara el uso no autorizado de las claves API de IA de los clientes.

Northflank es una plataforma en la nube que permite a los desarrolladores desplegar y gestionar aplicaciones, contenedores, bases de datos y aplicaciones de IA sin tener que gestionar la infraestructura subyacente.

La empresa reveló un incidente de seguridad https://status.northflank.com/ el 30 de octubre, advirtiendo a los clientes que rotaran inmediatamente sus variables de entorno y claves API tras recibir una alerta de amenaza de la empresa de seguridad en la nube Wiz.

Poco después, Northflank indicó a todos los clientes que asumieran que sus variables de entorno habían sido descifradas y que los secretos almacenados en ellas habían sido robados.

"Asuman que todas las variables de entorno han sido descifradas. Desactiven/roten todas las claves", advirtió Northflank en una actualización del 30 de octubre.

Las aplicaciones suelen utilizar variables de entorno para almacenar información sensible, incluidas contraseñas de bases de datos, credenciales de servicios en la nube, tokens de autenticación y claves API.

Si quedan expuestas, estas credenciales pueden utilizarse para vulnerar otros servicios del cliente, lo que podría provocar el robo de datos o cargos no autorizados a través de las claves API.

Northflank confirmó posteriormente que varios clientes habían informado del uso no autorizado de claves API de IA almacenadas en la plataforma.

"Los usuarios han informado del uso no autorizado de claves API de IA suministradas a la plataforma Northflank", afirmó la empresa.

"Si aún no ha rotado los secretos proporcionados por el usuario y almacenados en Northflank, hágalo inmediatamente".

También se aconsejó a los clientes que revisaran los registros de uso y facturación de su proveedor de IA para detectar actividades inesperadas e informaran del uso sospechoso a Northflank y a sus proveedores de IA.

Según el cronograma del incidente publicado por Northflank, Wiz les advirtió sobre la brecha a las 11:43 UTC del 30 de octubre, la cual fue revisada por los ingenieros de la empresa un minuto después.

Northflank respondió rápidamente con un parche de política de red, seguido de parches adicionales a las 12:50 UTC y 13:05 UTC. La empresa también solicitó asistencia al equipo de respuesta a incidentes de Wiz.

La compañía no ha revelado cómo los atacantes obtuvieron acceso a sus sistemas, cuántos clientes se vieron afectados, ni si los atacantes robaron o abusaron de credenciales distintas a las claves API de IA reportadas.

Como parte de su respuesta, Northflank habilitó la rotación de credenciales para PostgreSQL, MongoDB, MySQL y Redis.

La empresa también habilitó los registros de auditoría para todos los clientes, incluidos aquellos que utilizan cuentas gratuitas, para ayudarlos a investigar cualquier actividad sospechosa.

Northflank sigue aconsejando a los clientes que roten los secretos almacenados en las cargas de trabajo, grupos de secretos y secretos globales, y que desactiven el acceso público a los complementos donde esté habilitado.

BleepingComputer contactó a Northflank con preguntas sobre la brecha, su impacto en los clientes y si las credenciales almacenadas fueron accedidas o robadas, pero no ha recibido respuesta.

black october

La brecha se produce en medio de una serie de ataques dirigidos a plataformas de desarrollo de IA, que los investigadores de seguridad consideran objetivos valiosos porque almacenan claves API que pueden usarse para acceder a costosos servicios de IA.

En un informe titulado "Black October for AI Developer Platforms http://www.wiz.io/blog/black-october-for-ai-developer-platforms", Wiz identificó al menos nueve incidentes de seguridad que afectaron a plataformas de desarrollo de IA durante el mes, incluyendo Northflank, Railway, OpenCode, Warp y Lightning AI.

El incidente de Railway también implicó la posible exposición de variables de entorno de clientes descifradas, mientras que OpenCode reveló claves API de IA expuestas. Warp informó de una brecha que expuso registros de agentes de IA y datos de telemetría de usuarios.

Wiz afirma que los atacantes involucrados en algunos de estos incidentes han atacado específicamente las variables de entorno que contienen credenciales de servicios de IA, que pueden ser explotadas mediante una práctica conocida como LLMJacking.

El LLMJacking consiste en utilizar credenciales robadas para acceder a modelos de IA utilizando las claves API de otra organización, generando cargos masivos de API o permitiendo que el acceso robado sea revendido.

En dos casos investigados por Wiz, se utilizaron credenciales empresariales comprometidas para realizar aproximadamente 2,5 millones de llamadas a la API de Amazon Bedrock, generando aproximadamente 100.000 dólares en uso de IA.

Los investigadores también descubrieron infraestructura vinculada a servicios que revenden el acceso a modelos de IA, aunque no pudieron vincular esas operaciones con las brechas iniciales o el abuso a gran escala.

Wiz no ha confirmado que los nueve incidentes fueran realizados por los mismos atacantes. Sin embargo, muchos de los incidentes implicaron intentos de robar claves API de IA.

Northflank también hizo referencia a la investigación de Wiz en sus actualizaciones del incidente, señalando que los informes de los clientes sobre el uso no autorizado de claves de IA podrían estar vinculados a los ataques observados por los investigadores.

Fuente:
BleepingComputer