Zeabur припинить роботу після двох зламів, що викрили 3,2 млн записів

Хронологія припинення роботи та вплив на користувачів

Zeabur, хмарна AI-платформа, популярна серед вайб-кодерів, оголосила, що згорне роботу й закриє всі виділені сервери та спільні кластери до 31 грудня 2026 року. Деякі сервіси почнуть припиняти роботу 1 грудня 2026 року. Компанія повідомила, що понад 321 000 власників облікових записів мають знайти нову платформу, і надасть допомогу з міграцією, поверне залишок коштів на рахунках та запропонує компенсацію за інцидент безпеки. Користувачів закликали резервно копіювати дані й мігрувати якомога швидше. Заснована 2022 року Юаньліном Ліном, Zeabur також закрила свій AI Hub у вересні й визнала зростання складності інфраструктури та операційні труднощі поряд із невдачами у сфері безпеки.

Що викрило жовтневе зламання

Атака 14-15 жовтня скомпрометувала 321 810 облікових записів, викривши електронну пошту, ім'я користувача, номер телефону, дані проєктів, середовищ і сервісів. Вона також викрила 3 218 965 записів змінних середовища, зокрема назви й значення, які можуть містити паролі, ключі API та облікові дані баз даних. Zeabur заявила, що було відкликано 566 незашифрованих ключів API zSend, відкликано 11 536 токенів доступу до платформи, збережених у вигляді хешів, спільні кластери були викриті в дев'яти регіонах, 865 сервісів баз даних могли бути викриті, а також були підтверджені входи з правами root на 101 виділений сервер GCP, що належали 92 користувачам. Попереднє розслідування показало, що зловмисники використали довгострокові адміністративні облікові дані, збережені відкритим текстом, тоді як деякі інтерфейси керування були доступні з публічного інтернету. Після отримання доступу зловмисник дістався до спільних кластерів, виділених серверів, внутрішніх систем і отримав доступ на читання до бази даних платформи. Zeabur відкликала скомпрометовані облікові дані, заблокувала відомі шляхи атаки й рекомендувала користувачам ротувати всі паролі, ключі API та інші збережені секрети.

Серпневе зламання та питання усунення наслідків

Перший злам стався 27 серпня, коли було експлуатовано застосунок NextChat, розгорнутий клієнтом і розміщений на Zeabur. Зловмисник отримав несанкціонований доступ до інфраструктури компанії й зрештою дістався до виробничого середовища. Zeabur заявила, що заблокувала шлях проникнення, ротувала внутрішні облікові дані й паролі та випустила оновлення безпеки. Експерт Джозеф Перрі сказав, що після реагування на серпневий інцидент деякі адміністративні облікові дані залишалися активними, зокрема токени, активні з січня 2024 року без строку дії. Zeabur заявила, що зловмисники могли отримати ці облікові дані під час попереднього зламу, але цей зв'язок не підтверджено. Перрі сказав, що неповне усунення наслідків серйозного інциденту ставить організацію під екзистенційний ризик і може змусити критиків та юристів «кричати про недбалість». Він також сказав, що зупинка активної атаки відрізняється від видалення всього, що зловмисник міг би використати для повернення.

Джерела: Cybernews