Northflank incorpora rotación para RabbitMQ mientras sigue abierto el incidente

Northflank añadió rotación de secretos para los add-ons de RabbitMQ a las 23:31 UTC del 31 de octubre, las 00:31 CET del 1 de noviembre en España. La opción quedó disponible para todos sus clientes mientras su página de estado mantenía el incidente como “Identified” y varios componentes de la plataforma seguían en “Major outage”. Es una novedad operativa concreta durante la respuesta; no es una confirmación de que se hayan expuesto credenciales de RabbitMQ ni de que el incidente esté resuelto.

-SecureCrew dice: que el botón de rotar esté disponible no significa que cada secreto ya haya cambiado; el trabajo sigue teniendo dueño.-

Más herramientas para cambiar credenciales y revisar actividad

La ampliación llegó por etapas. Northflank había habilitado la rotación para PostgreSQL y MongoDB el 30 de octubre a las 15:12 UTC. Después activó registros de auditoría para todos los clientes, incluidas las cuentas gratuitas, a la 01:04 UTC del 31 de octubre, y sumó MySQL y Redis a las 13:34, MinIO a las 22:32 y RabbitMQ a las 23:31. La secuencia amplía los servicios donde cada cliente puede cambiar credenciales desde la plataforma; el anuncio pide a quienes aún no lo hayan hecho que roten los secretos.

La rotación de un add-on y la de una clave externa son operaciones distintas. Northflank guarda credenciales para servicios como bases de datos y mensajería, pero una clave de un proveedor de IA la emite ese proveedor. La página de estado instruye a los clientes a revocar esas credenciales en el servicio emisor, crear reemplazos, actualizar secretos y cargas de trabajo, y revisar uso y facturación. Usar la nueva función de RabbitMQ no invalida por sí solo una clave de un proveedor de IA que se hubiera almacenado como variable de entorno.

-SecureCrew dice: cambiar la llave de la base de datos no revoca la del proveedor externo; cada emisor conserva su propio interruptor.-

Los registros de auditoría aportan una superficie de investigación, pero el aviso solo fecha cuándo Northflank los habilitó; no explica si incluyen eventos anteriores a esa hora. Por eso, ver actividad posterior no descarta movimientos previos, y la ausencia de una entrada en el registro no debe tratarse como prueba de que no ocurrió. BleepingComputer recoge además que Northflank no había revelado cómo se obtuvo acceso, cuántos clientes podían estar afectados ni si, aparte de las claves de IA reportadas por usuarios, se habían robado o utilizado otras credenciales.

Lo que sigue sin saberse

La página oficial no convierte una advertencia en un resultado forense. Northflank pidió asumir que las variables de entorno pudieron ser descifradas y, en actualizaciones del 30 de octubre, comunicó reportes de usuarios sobre uso no autorizado de claves de API de IA. Esa formulación distingue una medida de precaución de una determinación completa del alcance. La empresa tampoco publicó en estas actualizaciones una causa raíz ni un recuento de clientes afectados.

El estado operativo seguía abierto en la lectura consultada: siete componentes de plataforma aparecían con interrupción grave, mientras la aplicación y la API figuraban operativas. Eso importa porque la respuesta tiene dos frentes: comprobar si las credenciales se usaron y mantener servicios disponibles mientras se rotan. Si la plataforma aloja bases de datos o colas críticas, conviene coordinar los cambios con las cargas que dependen de ellas; una rotación puede interrumpir conexiones hasta que aplicaciones y secretos queden sincronizados.

-SecureCrew dice: la auditoría ayuda a reconstruir; la página de estado todavía no ofrece la pieza que falta: qué ocurrió antes de los avisos.-

Para los clientes, la prioridad es actuar según el origen de cada secreto: rotar credenciales de los add-ons desde las funciones nuevas, revocar en el proveedor las claves externas sospechosas y revisar consumo y facturación. La actualización de RabbitMQ cubre una capacidad de respuesta; no cierra la investigación ni demuestra que la exposición se limitara a ese servicio. Hasta que Northflank publique hallazgos confirmados, el número de afectados, el vector inicial y el alcance de cualquier uso no autorizado siguen siendo preguntas abiertas.

Diccionario de la Crew

Secreto — valor confidencial como una contraseña, clave de API o credencial de base de datos que permite acceder a un servicio.
Rotación de secretos — reemplazo de una credencial por otra para dejar de usar la anterior.
Registro de auditoría — historial de acciones y eventos que ayuda a revisar quién hizo qué y cuándo, según la cobertura configurada.