📰 Source : BleepingComputer — Article publié le 31 octobre 2026 par Lawrence Abrams.

🔍 Contexte général Northflank, une plateforme cloud permettant aux développeurs de déployer et gérer des applications, conteneurs, bases de données et applications IA, a divulgué le 30 octobre 2026 un incident de sécurité après avoir reçu une alerte de la société de sécurité cloud Wiz à 11h43 UTC.

⚠️ Nature de l’incident Des attaquants ont accédé aux systèmes de Northflank et ont déchiffré les variables d’environnement des clients, qui contenaient des informations sensibles telles que des mots de passe de bases de données, des tokens d’authentification et des clés API de services d’IA. Plusieurs clients ont signalé une utilisation non autorisée de leurs clés API d’IA stockées sur la plateforme.

🕐 Chronologie de la réponse

  • 11:43 UTC : Alerte reçue de Wiz
  • 11:44 UTC : Revue par les ingénieurs Northflank
  • ~12:50 UTC : Premier patch de politique réseau appliqué
  • 13:05 UTC : Patches additionnels déployés
  • Assistance de l’équipe de réponse aux incidents de Wiz sollicitée

🛠️ Mesures prises par Northflank

  • Activation de la rotation des credentials pour PostgreSQL, MongoDB, MySQL et Redis
  • Activation des journaux d’audit pour tous les clients (y compris comptes gratuits)
  • Demande de rotation immédiate de tous les secrets stockés dans les workloads, groupes de secrets et secrets globaux
  • Désactivation de l’accès public aux add-ons

🌐 Contexte élargi — « Black October » Wiz a documenté dans un rapport intitulé « Black October for AI Developer Platforms » au moins neuf incidents de sécurité ciblant des plateformes de développement IA en octobre 2026, incluant :

  • Northflank : déchiffrement de variables d’environnement, abus de clés API IA
  • Railway : exposition potentielle de variables d’environnement déchiffrées
  • OpenCode : exposition de clés API d’IA
  • Warp : violation exposant des logs d’agents IA et des données de télémétrie utilisateurs
  • Lightning AI : incident de sécurité

💸 Technique LLMJacking Wiz identifie la technique dite de LLMJacking : utilisation de credentials volés pour accéder à des modèles d’IA via les clés API d’une autre organisation, générant des charges API massives ou permettant la revente de l’accès. Dans deux cas investigués par Wiz, des credentials d’entreprise compromis ont été utilisés pour effectuer environ 2,5 millions d’appels API Amazon Bedrock, générant environ 100 000 $ de coûts d’utilisation IA. Des infrastructures liées à des services de revente d’accès à des modèles d’IA ont également été découvertes.

❓ Informations non divulguées Northflank n’a pas précisé le vecteur d’accès initial, le nombre de clients affectés, ni si d’autres types de credentials ont été volés au-delà des clés API IA signalées.

📋 Type d’article : Rapport d’incident combiné à une analyse de menace sectorielle, visant à informer les clients et la communauté CTI sur une campagne ciblant les plateformes de développement IA.

🧠 TTPs et IOCs détectés

TTP

  • T1552.001 — Unsecured Credentials: Credentials In Files (Credential Access)
  • T1552.007 — Unsecured Credentials: Container API (Credential Access)
  • T1078 — Valid Accounts (Defense Evasion)
  • T1657 — Financial Theft (Impact)

🟡 Indice de vérification factuelle : 60/100 (moyenne)

  • ✅ bleepingcomputer.com — source reconnue (liste interne) (20pts)
  • ✅ 12378 chars — texte complet (fulltext extrait) (15pts)
  • ⬜ aucun IOC extrait (0pts)
  • ⬜ pas d’IOC à vérifier (0pts)
  • ✅ 4 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://www.bleepingcomputer.com/news/security/northflank-security-breach-leads-to-abuse-of-customers-ai-api-keys/