חברת OpenCode הודיעה שמתקיף חדר בלילה של 16 באוקטובר למערכת ישנה שלה, ושמפתחות API של ספקי בינה מלאכותית ששמרו משתמשים בשירות OpenCode Console עלולים להיות חשופים. החברה לא אישרה שמפתחות הועתקו או נוצלו בפועל.
הפרטים
ב-17 באוקטובר נשלח למשתמשים מושפעים מייל על חשש לפריצה, והחברה כתבה ב-X שהאירוע מתמשך ושקשור ל"התקפת זיקוק רחבת היקף". לדברי המייסד המשותף Dax Raad, ניסו לחדור למערכות החברה במשך כ-48 שעות. מדובר בכ-1.4% ממשתמשי Console, כולם כאלה שקישרו ספק חיצוני. מפתחות שנשמרים מקומית באפליקציות שורת הפקודה והדסקטופ לא הושפעו, מפני שהם "לא מגיעים אלינו".
משתמשים מסוימים מדווחים על חיובים על שימוש שלא ביצעו, אך אלה דיווחים לא מאומתים. החברה לא פירטה מהי המערכת הישנה, כיצד נפרצה, כמה מפתחות הוחזקו בה, ומה הקשר להתקפת הזיקוק.
נקודות לשים לב
- אם שמרת מפתח ספק ב-Console, בטל אותו בלוח הבקרה של הספק עצמו ויצור חדש. מחיקה מ-Console אינה מבטלת אותו.
- עדכן כל סקריפט ויישום שהשתמשו במפתח הישן.
- עבור על נתוני השימוש והחיוב אצל הספקים לפחות מ-16 באוקטובר, וחפש בקשות שלא ביצעת.
- הגדר מגבלות הוצאה והתראות, והפרד מפתחות לפי כלי. תקציבי Console לא מגבילים שימוש שאינו עובר דרך השער שלה.
- ההודעה היא על חשיפה אפשרית, לא על גניבה מאושרת. עם זאת, רוטציית מפתח זולה בהרבה מחשבון בלתי צפוי.
מקורות: The Hacker News · OpenCode ב-X
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
