Trigger.dev가 2026년 11월 1일 일요일에 발생한 보안 침해 사고를 공식적으로 인정했습니다. 이번 사건으로 인해 특정 고객 조직들의 환경 변수가 무단으로 접근되어 노출된 것으로 확인되었습니다.
환경 변수는 자동화된 워크플로우를 구동하는 핵심 비밀 정보인 API 키, 데이터베이스 비밀번호, 서비스 토큰 등을 저장합니다. Trigger.dev 플랫폼에서는 이 변수들이 백그라운드 작업, 웹훅 핸들러, 서버리스 태스크 등에 직접 연결됩니다.
공격자가 이러한 변수에 접근할 경우, 연결된 인프라에 대한 직접적인 자격 증명을 획득하게 됩니다. 이는 개인 데이터를 읽거나 클라우드 계정으로 횡적 이동이 가능해져 실질적인 위험을 초래합니다.
회사 측은 공격에 사용된 익스플로잇을 즉시 차단했다고 밝혔습니다. 하지만 정확한 피해 규모나 악용된 취약점의 기술적 세부 사항은 아직 공개되지 않았습니다. 현재로서는 제한된 수의 계정에서 무단 접근이 발생했음만 확인된 상태입니다.
영향받은 계정 소유자들은 이메일을 통해 구체적인 완화 절차를 전달받았습니다. 가장 중요한 조치는 Trigger.dev에 저장된 모든 자격 증명을 회전시키는 것입니다. 이를 통해 공격자의 접근 권한을 제거할 수 있습니다.
또한 최근 실행된 워크플로우를 감사하고 연결된 서비스의 로그를 검토해야 합니다. 개발자 커뮤니티에서는 상태 페이지의 ‘해결됨’ 표시에 대해 의문을 제기하기도 했습니다. 완전한 기술적 사후 분석 보고서가 나오지 않은 상황에서 조기 종료를 선언했다는 비판입니다.
Trigger.dev는 경쟁 서비스인 Inngest에서도 유사한 사례가 있었음을 언급하며 자체 소프트웨어 구축의 중요성을 강조하는 목소리도 들리고 있습니다. 하지만 현재로서는 제공된 지침에 따라 신속한 대응이 요구되는 상황입니다.
회사는 향후 업데이트를 상태 페이지에 게시하겠다고 약속했습니다. 질문이 있는 사용자는 회사 측에 직접 연락할 수 있습니다. 아직까지 전체적인 원인 규명이나 상세한 피해 범위에 대한 정보는 제한적입니다.