Для кого: разработчиков и команд, которые запускают задачи или джобы в Trigger.dev и хранят в своих средах ключи API, данные подключения к базам данных или облачные учётные данные. Статья основана на блоге и странице статуса Trigger.dev и не описывает методы атак.
Опубликован дополнительный отчёт: статья будет обновляться по мере публикации новых данных организацией
- Кого это касается
разработчиков и команд, которые запускают задачи или джобы в Trigger.dev и хранят в своих средах ключи API, данные подключения к базам данных или облачные учётные данные.
- ПодтвержденоСмотреть таблицу ↓
- Доля затронутых клиентов
- Корневые ключи API
- Переменные окружения
Ещё 1
- Списки и метаданные запусков, развёртываний и расписаний
- Пока не подтверждено
- Вектор атаки (компания не раскрывает его, чтобы защитить расследование и клиентов)
- Когда начался несанкционированный доступ и как долго он продолжался
- Фактическое число затронутых клиентов
Ещё 1
- Была ли полученная информация действительно использована во вред
- Что сделать сейчасСмотреть шаги ↓
- Проверьте уведомление: и письмо, и баннер в панели управления
- Если вас затронуло, перегенерируйте ключи API Trigger.dev
- Если вас затронуло, смените учётные данные в среде
Ещё 3
- Проверьте использование, журналы и счета у поставщиков
- Разверните заново с новыми значениями и проверьте, что задачи работают
- Задайте лимиты расходов и разделите ключи на узкие
- Где проверить (источник)Все источники ↓
- Trigger.dev, блог, отчёт об инциденте (6 ноября 2026)
- Последняя проверка
- По состоянию на 7 ноября 2026 года (JST)
Планы обновлений и что мы проверили
Компания опубликовала отчёт 6 ноября. В нём говорится о блокировке злоумышленника, доле затронутых клиентов, полученных данных и действиях клиентов. Вектор атаки, по её словам, будет раскрыт, когда это можно будет сделать ответственно. При проверке 7 ноября 2026 года (JST) новых обновлений не было.
Что делать пользователям Trigger.dev сегодня
Проверьте уведомление: и письмо, и баннер в панели управления
Компания сообщает, что затронутым клиентам отправляли письма 1 ноября (около 21:36 UTC) и 2 ноября (20:27 UTC), а в панели управления показывается баннер с уведомлением. Сначала проверьте, получил ли письмо владелец вашей организации (включая папку «Спам») и есть ли баннер в панели управления.
Компания заявляет, что клиенты, не получившие уведомления о воздействии, не затронуты. Если вы не уверены, она просит написать на help@trigger.dev с адреса электронной почты вашего аккаунта и сообщает, что обращения по этому инциденту обрабатываются в приоритетном порядке.
Если вас затронуло, перегенерируйте ключи API Trigger.dev
Компания сообщает, что злоумышленник получил корневые ключи API, а потенциально затронутые ключи для затронутых сред она отозвала. Инструкции по перегенерации отправлены затронутым клиентам по почте. Если CI или приложение всё ещё использует старый ключ, замените его новым.
Компания выпустила ограничения по IP для ключей API с ограниченной областью действия и поддержку OIDC. Используйте их при повторной выдаче ключей, если они подходят вашей конфигурации.
Если вас затронуло, смените учётные данные в среде
Это пароли баз данных, сторонние ключи API, токены доступа и подобное в затронутой среде. Порядок такой: отзовите старые учётные данные в сервисе, который их выдал (поставщик ИИ, облако, база данных, платежи, почта), создайте новые, задайте их в Trigger.dev и разверните заново. Правка или удаление переменной в Trigger.dev не остановит копию, которая уже есть у кого-то.
Компания сообщает, что переменные окружения хранятся в зашифрованном виде и расшифровываются непосредственно перед выполнением запуска. Но корневой ключ даёт полный доступ к настройкам среды, включая её переменные окружения, поэтому безопаснее считать переменные в затронутой среде похищенными.
Проверьте использование, журналы и счета у поставщиков
В прочитанных нами источниках компания не указывает, когда начался несанкционированный доступ, поэтому, по правилу этого сайта, смотрите минимум до конца октября и берите окно пошире. В каждом сервисе откройте использование, журналы доступа, список ключей и счета и поищите незнакомые запросы, необычные модели или регионы и внезапный рост расходов.
Для баз данных проверьте также подключения с незнакомых источников и задания, которые вы обычно не запускаете. Если найдёте подозрительное использование, сообщите поставщику и замените также остальные секреты этой среды.
Разверните заново с новыми значениями и проверьте, что задачи работают
Задав новые значения, разверните заново и убедитесь, что запущенные и плановые задачи работают с ними. Поскольку старые ключи уже отозваны, пропущенная переменная приведёт к сбою задачи. По этим сбоям можно найти, какая переменная осталась устаревшей.
Задайте лимиты расходов и разделите ключи на узкие
У поставщиков ИИ и в облаках задайте ежемесячный лимит бюджета и оповещение. Давайте каждому ключу одну цель и самые узкие права, используйте отдельные ключи для каждого приложения и каждой среды. Чем уже ключ, тем дешевле обходится утечка. Об основах того, как не допускать ключи в код и журналы, см. что на самом деле опасно в .env и ключах API.
Что произошло (по объявлениям Trigger.dev)
Ниже — по отчёту компании от 6 ноября, её блогу от 1 ноября и записи на странице статуса. Отчёт от 6 ноября опубликован как продолжение первого раскрытия.
1 ноября
Компания узнаёт об инциденте. Оповещения инфраструктуры указывают на аномальную активность; она считает её вредоносной, блокирует злоумышленника и смягчает вектор атаки. Первое раскрытие в блоге.1 ноября, около 21:36 UTC
Первое письмо затронутым клиентам.1 ноября, 22:50 UTC
Создаётся запись на странице статуса с тем же названием.2 ноября, 20:27 UTC
Второе письмо затронутым клиентам.6 ноября, 12:27 UTC
Запись на странице статуса помечена «Resolved» и ведёт на отчёт от 6 ноября.6 ноября
Компания публикует более полный отчёт: затронуто 0,66 % клиентов, получены корневые ключи API, что было возвращено и что делать клиентам.7 ноября
Этот сайт проверяет снова. Новых обновлений нет.
Что говорит компания
0,66 % клиентов. Получены корневые ключи API, доступ к переменным окружения, возвращены данные запусков, развёртываний и расписаний
Не указано
Вектор атаки (скрыт), дата начала, фактическое число клиентов, использована ли информация во вред
Если вас затронуло: перегенерируйте ключи API, затем отзовите и замените учётные данные среды у поставщиков.
- Воздействие
- 0,66 % всех клиентов. Злоумышленник получил корневые ключи API для некоторых клиентских сред и получил доступ к их переменным окружения
- Что было возвращено
- В некоторых средах — списки последних запусков, развёртываний и расписаний: идентификаторы, названия задач, ключи идемпотентности запусков, статус запусков, теги, метаданные развёртываний и ошибки, внешние идентификаторы расписаний и метаданные запусков
- Не обнаружено
- Доказательств доступа к другим данным клиентов, другим сервисам, собственным производственным базам данных или аккаунтам клиентов в панели управления нет (компания)
- Ответ компании
- Заблокировала злоумышленника и смягчила вектор, в качестве меры предосторожности сменила внутренние учётные данные, проверила журналы, уведомила затронутых клиентов, отозвала потенциально затронутые ключи API, применила автоматические ограничения аккаунтов на основе риска, привлекла экспертов по реагированию на инциденты, уведомила правоохранительные органы
- Не раскрыто
- Вектор атаки (чтобы защитить расследование и клиентов), дата начала, фактическое число клиентов, использована ли информация во вред
Что известно и что неизвестно
Состояние на 7 ноября 2026 года (JST). Пункты с пометкой «не указано» отсутствуют в отчёте компании в том виде, как мы его прочитали; это не означает, что они подтверждены как безопасные.
| Пункт | Что говорит компания | Статус |
|---|---|---|
| Доля затронутых клиентов | 0,66 % всех клиентов | Подтверждено (компания) |
| Корневые ключи API | Получены злоумышленником для некоторых клиентских сред | Утечка подтверждена (компания) |
| Переменные окружения | Злоумышленник получил несанкционированный доступ | Затронуто (компания) |
| Списки и метаданные запусков, развёртываний и расписаний | Возвращены в некоторых средах | Утечка подтверждена (компания) |
| Другие данные клиентов, другие сервисы, собственные производственные базы данных, аккаунты в панели управления | Доказательств доступа нет | Не подтверждено (компания) |
| Секреты подписи вебхуков | Не раскрыты | Не затронуто (компания) |
| Самостоятельно размещённые развёртывания | Не затронуты | Не затронуто (компания) |
| Клиенты без уведомления | Не затронуты | Заявление компании |
| Вектор атаки | Скрыт, чтобы защитить расследование и клиентов; будет раскрыт, когда это можно будет сделать ответственно | Расследуется (скрыто компанией) |
| Когда начался доступ и как долго он продолжался | В отчёте в том виде, как мы его прочитали, не указано | Не указано |
| Фактическое число затронутых клиентов | Только доля (0,66 %) | Не указано |
| Использование полученной информации во вред | Не указано | Не указано |
Как это читать: использовались ли учётные данные из переменных, по-прежнему неизвестно
Компания разделяет то, что было получено, и то, к чему у неё нет доказательств доступа. Она не говорит, были ли учётные данные, хранившиеся в переменных окружения, действительно использованы. Если вас затронуло, не ждите подтверждения, что их не использовали; сначала отзовите их у поставщика.
К чему может привести доступ к переменным окружения
В общем случае секреты, к которым получен доступ в переменных окружения, можно использовать во вред так, как описано ниже. Это не означает, что всё это произошло здесь.
- Ключи API сервисов ИИ: кто-то другой отправляет запросы от вашего аккаунта, а счёт приходит вам, либо ключ перепродают
- Пароли баз данных и строки подключения: чтение или изменение данных вашего приложения, включая записи ваших пользователей
- Ключи облака и платежей: создание ресурсов или вызовы, за которые нужно платить
- Ключи подписи: приём поддельных запросов или подделка сессий
Возвращённые здесь метаданные запусков и развёртываний (названия задач, теги, ошибки) сами по себе не секрет, но намекают, какие сервисы вы используете и как. Это можно использовать для целевых убедительных сообщений.
Платформа фоновых задач по своей природе хранит учётные данные многих внешних сервисов в одном месте. Если переменные одной платформы стали видны, ключи нескольких сервисов могут оказаться под угрозой одновременно. О других случаях с переменными окружения и секретами см. Northflank, Zeabur и Railway. Это отдельные случаи, и ни для одного не подтверждена общая причина с этим.
Для операторов: уроки из того, что раскрыла компания
Эти пункты следуют из фактов, опубликованных компанией. Это не дополнительная оценка Trigger.dev.
- Почти корневой ключ достаёт до настроек всей среды. Компания сообщает, что получение корневых ключей API дало доступ к переменным окружения. Разделяйте ключи платформы по целям и используйте там, где можете, сужающие возможности, которые выпустила компания, например ограничения по IP и OIDC.
- Уведомления приходят по почте и в панель управления. Сделайте адрес владельца общим почтовым ящиком, который продолжает работать, когда человек уходит, не отправляйте его письма в спам и регулярно проверяйте баннер в панели управления.
- Делайте секреты, которые вы передаёте платформе, быстро заменяемыми. Заранее решите для каждого поставщика, как отзывать и выдавать заново, и разделяйте ключи по средам и целям, чтобы действовать в день получения уведомления.
- Давайте секретам в переменных самые узкие права. Если переменные платформы стали видны, ущерб зависит от того, что может каждый ключ.
Источники (открытые данные)
Факты в этой статье основаны на открытой информации ниже. Вектор атаки и причину, которые компания не раскрыла, мы не обсуждаем гипотетически.
- Trigger.dev, блог, отчёт об инциденте (6 ноября 2026) — trigger.dev/blog/security-incident-report-nov-2026
- Trigger.dev, блог, «Security Disclosure: Sunday November 1st» (1 ноября 2026) — trigger.dev/blog/security-incident-nov-2026
- Trigger.dev, страница статуса, «Security Disclosure: Sunday November 1st» (создана 1 ноября 2026, 22:50 UTC; помечена как решённая 6 ноября, 12:27 UTC, со ссылкой на отчёт от 6 ноября) — status.trigger.dev/incident/1110434
История обновлений
2026-11-07: добавлен отчёт компании от 6 ноября: затронуто 0,66 % клиентов, получены корневые ключи API и переменные окружения, возвращены данные запусков, развёртываний и расписаний, вектор атаки скрыт. Шаги теперь строятся вокруг проверки уведомления (письмо и баннер в панели управления), перегенерации ключей API и смены учётных данных среды; добавлено, что секреты подписи вебхуков не раскрыты, а самостоятельно размещённые развёртывания не затронуты. 2026-11-05: первая версия. Основана на блоге и странице статуса Trigger.dev по состоянию на 5 ноября 2026 года.
Читайте далее
- Другие инциденты с переменными окружения и секретами: инцидент безопасности Northflank / возможная утечка переменных окружения Railway / инцидент безопасности Zeabur
- Более новый случай с платформой для разработчиков: несанкционированный доступ к производственным системам Chainstack / взлом OpenCode Console
- Как беречь ключи: что на самом деле опасно в .env и ключах API / кража ключей API и блокировка аккаунта
- Другие инциденты 2026 года: Утечки данных и кибератаки 2026 года