클라우드 배포 플랫폼 Northflank가 2026년 10월 30일 보안 침해를 공식적으로 인정했습니다. 회사는 자사 인프라에 저장된 모든 환경 변수, 비밀 키, 자격 증명을 즉시 교체하라고 고객들에게 통보했습니다.
Wiz는 UTC 기준 11시 43분에 비정상적인 접근을 감지해 알렸습니다. Northflank은 같은 날 12시 02분과 12시 50분에 네트워크 패치를 적용하며 대응에 나섰습니다. 그러나 이미 일부 고객의 AI API 키가 공격자들에 의해 사용된 사실이 확인되었습니다.
사고 당시 네트워킹, 인증서, 서비스, 애드온, 잡, 빌드, 로그 등 주요 구성 요소가 동시에 대규모 장애를 일으켰습니다. Northflank은 Postgres와 MongoDB 애드온에 대해 자동 비밀 키 로테이션 기능을 활성화했습니다.
공식 상태 페이지에는 총 네 번의 연속 업데이트가 게시되었습니다. 첫 번째 공지에서는 모든 환경 변수가 복호화된 상태로 간주하고 키를 폐기 및 재발급할 것을 강조했습니다. 이어진 업데이트에서는 AI 제공업체의 사용량 및 청구 내역을 점검하라는 구체적인 지침이 추가되었습니다.
Northflank은 개발팀이 Kubernetes를 직접 관리하지 않고도 컨테이너 기반 애플리케이션과 데이터베이스를 배포할 수 있게 해주는 PaaS 서비스입니다. 이번 사고는 이러한 공유 인프라 계층을 정확히 타격했습니다.
Hacker News 커뮤니티에서는 최근 한 달간 PingCAP, Fireworks AI, Railway 등 여러 멀티 테넌트 SaaS 벤더들이 유사한 공격을 받았다는 지적이 나왔습니다. 이는 현대적 클라우드 서비스 제공업체들의 보안 체계에 대한 경각심을 불러일으키고 있습니다.
현재까지 Northflank은 공격 주체를 특정하지 않았습니다. 조사 중인 사항으로 남아 있으며 추가 확인된 정보는 없습니다. 다만 Wiz의 ‘Black October’ 보고서와 일치하는 IP 주소 패턴이 발견되었다고 언급했습니다.
사용자들은 자신의 워크로드, 시크릿 그룹, 글로벌 시크릿에 포함된 모든 자격 증명을 즉시 무효화해야 합니다. 공개 액세스가 설정된 애드온의 경우 해당 기능도 비활성화하는 것이 권장됩니다.
2026년 10월 31일 새벽 1시 4분 UTC 기준으로 무료 사용자를 포함한 모든 고객에게 감사 로그 기능이 활성화되었습니다. 이는 사고 이후의 활동 추적 가능성을 높이기 위한 조치로 해석됩니다.
북플랭크 측의 최종 권고는 명확합니다. 모든 사용자가 자신의 시크릿이 유출되었을 가능성을 전제로 행동해야 한다는 점입니다. 아직 키 교체를 완료하지 않은 고객은 즉시 발급처에 기존 자격 증명을 취소 요청하고 새로운 키를 생성하여 워크로드에 반영해야 합니다.