Veille menaces / Fuite de données
Northflank : les clients doivent considérer que toutes leurs variables d'environnement ont été déchiffrées
Après une alerte de Wiz le 30 octobre, Northflank a demandé à tous ses clients de considérer que leurs variables d'environnement avaient été déchiffrées et de renouveler tous leurs secrets. Des utilisateurs ont signalé un usage non autorisé de clés d'API d'IA stockées sur la plateforme. Northflank n'a pas encore publié la cause racine.
- Secteur
- Tech et SaaS
- Point d'entrée
- Pas encore public
- Produit ou fournisseur
- Northflank
- Comment c'est arrivé
- Northflank indique que les éléments pointent vers des secrets stockés dans son plan de contrôle, et que la CVE-2026-98432 a été corrigée sur toute la flotte. Elle ne donne aucun détail technique et dit que la cause racine n'est pas encore publiée.[1] Vérifié le 8 nov. 2026
- Ce qui a été volé
- Des secrets de clients : Northflank demande de considérer comme déchiffrées toutes les variables d'environnement, y compris celles des workloads, des groupes de secrets et des secrets globaux. Elle situe le premier déchiffrement connu entre 02:39 et 03:08 UTC le 30 octobre. Elle dit n'avoir aucune preuve d'accès aux workloads des clients ni à leurs données.[1] Vérifié le 8 nov. 2026
- Qui est touché
- Des utilisateurs ont signalé un usage non autorisé de clés d'API d'IA stockées chez Northflank. Le nombre de clients touchés n'est pas communiqué. Les clients sur des plans de contrôle déployés en local ou dédiés sont indiqués comme non concernés. Wiz place Northflank parmi les plateformes de développement d'IA ayant divulgué des incidents en octobre, et décrit deux clés Amazon Bedrock volées ayant servi à environ 800 000 et 1,7 million d'appels ; elle ne relie pas ces clés à Northflank.[1][2] Vérifié le 8 nov. 2026
- Acteur
- Non attribué
- CVE
- CVE-2026-98432
Chronologie
- Une alerte de menace de Wiz arrive à 11:43 UTC. Northflank corrige une politique réseau en une vingtaine de minutes et demande aux clients de renouveler leurs variables d'environnement, puis de les considérer toutes comme déchiffrées. [1]
- Plusieurs utilisateurs signalent l'utilisation de leurs clés d'IA. Wiz cite Northflank parmi neuf plateformes de développement d'IA ayant divulgué des incidents entre le 6 et le 30 octobre. [1][2]
- Northflank active les journaux d'audit pour tous les clients, y compris gratuits, et ajoute la rotation des secrets pour d'autres modules de base de données. [1]
- Northflank indique que le vecteur d'attaque a été contenu dans l'heure suivant la première alerte et qu'elle ne voit aucun signe que l'attaquant soit resté. Des auditeurs forensiques indépendants commencent leur revue. Elle révoque les jetons d'accès, les sessions, les intégrations VCS et les rôles IAM inter-comptes lorsque c'est possible. [1]
- Northflank indique que l'analyse de la cause racine reste à venir. [1]