2026-11-05
Trigger.devのセキュリティインシデント（2026年11月）：全顧客の0.66%でルートAPIキーと環境変数に不正アクセス、キーの再発行と秘密の差し替えを
バックグラウンドジョブやAIエージェントの実行基盤Trigger.devは2026年11月1日にセキュリティインシデントを公表し、11月6日に続報の報告を出した。同社によれば、11月1日にインフラのアラートが異常な動きを検知し、悪意あるものと判断して攻撃者を遮断した。影響は全顧客の0.66%で、攻撃者は一部の顧客環境のルートAPIキーを入手した。ルートキーは環境の設定（環境変数を含む）への完全なアクセスを与える。一部の環境では、直近の実行、デプロイ、スケジュールの一覧も取得され、ID、タスク名、実行の冪等性キー、状態、タグ、デプロイのメタデータとエラー、スケジュールの外部ID、実行のメタデータが返った。同社は、ほかの顧客データ、他のサービス、同社の本番データベース、ダッシュボードのアカウントにアクセスされた証拠は見つけていないとする。攻撃の経路は、調査と顧客を守るため公表していない。影響を受けた顧客にはメール（11月1日と2日）とダッシュボードの通知（時期は記載なし）で連絡し、影響した可能性のあるAPIキーは失効させた。対象の顧客は、APIキーを再発行し、環境のデータベースのパスワードやサードパーティのAPIキーなどを差し替えて、発行元で古い認証情報を失効させる。通知を受けていない顧客は影響を受けていないと同社は説明する。Webhookの署名用の秘密は露出しておらず、セルフホストは影響を受けていない。当サイトの見立て：まずメールとダッシュボードのバナーで対象かどうかを確認し、対象なら同社の手順どおりに再発行と差し替えを進める。