API-ключи
5 статей с этим тегом
Взлом OpenCode Console (октябрь 2026, 1,4% пользователей Console): возможно раскрыты API-ключи поставщиков ИИ, и что делать
17 октября 2026 года OpenCode, ИИ-агент для написания кода с открытым исходным кодом, сообщил в своём официальном аккаунте в X, что прошлой ночью произошёл взлом, связанный с масштабной атакой дистилляции, который затронул 1,4% пользователей OpenCode Console. По словам компании, утром она отправила письма всем затронутым пользователям, те, кто письма не получил, не затронуты, а затронутые пользователи — это часть тех, у кого были подключены внешние поставщики. Компания сообщила, что инцидент продолжается, что она не может поделиться подробностями и что работает с соответствующими поставщиками ИИ. Согласно сообщениям СМИ о письме и заявлениях компании, API-ключи внешних поставщиков ИИ, которые пользователи хранили в рабочих пространствах Console, могли быть раскрыты через более старую систему, и затронутым пользователям было сказано отозвать и заменить эти ключи напрямую у каждого поставщика. Сооснователь заявил, что приложение с открытым исходным кодом и инструмент командной строки не затронуты. Мнение этого сайта: если вы получили письмо или у вас были подключены ключи поставщиков ИИ в OpenCode Console и вы не уверены, отзовите их сегодня в панели управления каждого поставщика и проверьте использование и счета начиная с 17 октября.
Несанкционированный доступ к конструктору сайтов Studio: данные всех пользователей и содержимое отправленных форм могли утечь — что делать отправителям форм и владельцам сайтов
16 октября 2026 года Studio Inc. объявила, что третья сторона получила несанкционированный доступ к используемой компанией облачной среде и что данные обо всех клиентах, зарегистрированных в конструкторе сайтов Studio, могли утечь. Третья сторона использовала уязвимость в некоторых функциях Studio, чтобы проникнуть в среду, и сделала её данные доступными для получения извне. Подтверждённый период несанкционированного доступа — с 30 сентября по 1 октября 2026 года (по времени Японии); компания обнаружила его при внутренней проверке 13 октября и завершила устранение уязвимости и закрытие маршрута 13–14 октября. Данные, которые могли утечь: данные учётных записей (имена пользователей, адреса электронной почты, хешированные пароли и другое), содержимое редактора дизайна и CMS, содержимое форм, отправленных на сайтах, созданных в Studio, URL живого предпросмотра, API-ключи и токены внешних сервисов, зарегистрированные в API-интеграциях, пароли страниц, защищённых паролем, и URL вебхук-уведомлений. Часть данных, хранившихся в зашифрованном виде, также могла быть прочитана, поскольку ключ, необходимый для расшифровки, был прочитан при том же доступе. Компания не подтвердила, что третья сторона действительно забрала данные, но считает их забранными. Число пострадавших и наличие случаев злоупотребления расследуются. Компании и организации, создавшие сайты в Studio, также сообщили, что персональные данные, отправленные через их формы, могли утечь: Luup назвала 21 368 записей, Link-U Group — 7 663, TRUSTART — около 1 440, а Saitama Green Forest Museum префектуры Сайтама — 162. Цифровое агентство Японии 22 октября, после того как Studio Inc. сообщила ему об инциденте 16 октября, заявило, что обращения, введённые в контактные формы на его сайте с мая 2021 года по март 2023 года (пять категорий, до 8 833 записей в крупнейшей; до 13 323 всего — сумма, подсчитанная этим сайтом), и 35 записей учётных записей Studio могли утечь. Относительно уведомления Комиссии по защите персональной информации Японии (PPC): 17 октября Studio Inc. сначала попросила пользователей форм воздержаться от индивидуальных уведомлений, затем 20 октября сообщила, что после обсуждения с PPC клиенты могут выбрать индивидуальное уведомление или совместное со Studio (в любом случае решение об уведомлении затронутых лиц принимают сами клиенты). 19 октября на своей информационной странице компания добавила, что даже ответы, являющиеся рекламными предложениями, спамом или вызывающие опасения за безопасность, в принципе требуют уведомления человека, если содержат информацию, позволяющую его идентифицировать. Вывод этого сайта: если вы отправляли форму на сайте, созданном в Studio, проверьте уведомление владельца этого сайта и не открывайте ссылки в сообщениях, где упоминается то, что вы отправляли. Владельцам сайтов следует сменить пароль и заменить ключи интеграций в порядке, указанном Studio Inc.
543 699 учётных данных, опубликованных на GitHub, всё ещё работали (исследование 2026 года): почему нужно отзывать, а не удалять, и что делать разработчикам
Компания по безопасности, продающая инструменты поиска секретов, изучила снимок примерно 224 миллионов публичных репозиториев, собранный для обучения LLM, и сообщила, что в конце июля 2026 года 543 699 учётных данных всё ещё проходили аутентификацию. Медианное время с момента раскрытия — 784 дня. Почти все токены npm и GitHub были аннулированы, тогда как 75–88% строк подключения к базам данных всё ещё работали. Более 199 000 действующих учётных данных появились уже после того, как GitHub включил push protection по умолчанию, и больше половины действующих относились к типам, которые push protection по умолчанию не блокирует. Вывод этого сайта: учётные данные, отправленные в публичный репозиторий, нельзя вернуть удалением файла или переписыванием истории, поэтому сначала их нужно отозвать. Отзываются ли утёкшие учётные данные автоматически, зависит от выпустившего их сервиса; строки подключения и многие API-ключи действуют, пока вы сами их не остановите.
Останавливайте секреты до коммита с gitleaks: ловите утечки API-ключей до push
Секреты нельзя «удалить после утечки». Раз закоммиченный, секрет остаётся в истории Git, а раз запушенный — его надо считать утёкшим: ключ нужно отозвать/сменить. gitleaks — бесплатный инструмент, сканирующий весь репозиторий и историю коммитов по regex/энтропии, чтобы найти API-ключи, приватные ключи и токены. Ядро защиты — две проверки: хук pre-commit, останавливающий локально до push, и CI/cron, ловящий то, что просочилось. .gitignore лишь предотвращает новое отслеживание — он не умеет обнаруживать, так что сканер всё равно нужен.
Основы безопасности: чем на самом деле опасны .env и API-ключи
Начните здесь. Поймите, что происходит при утечке .env и API-ключей (кто-то пользуется сервисом от вашего имени, а счёт приходит вам), затем заведите четыре привычки сегодня: не выставлять их наружу, не коммитить, сменить всё при утечке и самопроверяться.