Zeaburに再び不正アクセス 環境変数321万件読まれ12月末で終了

Webのサービスを手軽に配備できるクラウドの「Zeabur」(台湾)は、2026年10月19日、10月14日から15日(協定世界時)の不正アクセスについて初期報告を公表しました。攻撃者は、Zeaburの内部の認証情報を使って共有クラスターや一部の専用サーバーに入り、プラットフォームのデータベースを読み取りました。

Zeaburの不正アクセスは、8月に続いて2回目です。同社は10月17日、サービスを12月31日で終えると発表しました。日本語のページもあり、東京のリージョンにも影響が出ています。この記事の内容は、2026年10月21日にZeaburの日本語版の報告で確かめたものです。

何が読まれたか

初期報告は、確かめられた範囲と、確かめられない範囲を分けて書いています。確かめられないものは、すべて流出したものとして扱うとしています。

報告によると、攻撃者は主に、そのまま使えるAPIキー、とくにAIのサービスのキーを探していました。n8nは、607のうち602が暗号の鍵を環境変数に書いていたため、n8nの中の外部サービスの認証情報は、平文で漏れたのと同じだとしています。

日本に関わるところでは、東京(hnd1)リージョンの少なくとも2つのPostgreSQLに、10月14日から外へ接続するプログラムが仕込まれていました。

原因は、平文で置かれた期限のない管理用の鍵

Zeaburは、根本の原因は自社にあるとしています。共有クラスターの管理用のトークンは、2024年1月に作られてから有効期限がなく、一度も入れ替えられていませんでした。その鍵やAWSのキーが社内の設定のリポジトリに平文で置かれ、管理の画面もインターネットから使える状態でした。

8月のインシデントのあとの入れ替えは、これらの認証情報を対象にしていませんでした。GCPの専用サーバーの初期設定にrootのパスワードが保存されていた問題も、9月3日に分かっていながら、直す前に今回の侵入が起きています。攻撃は約36時間、警報を出さずに続き、利用者からの報告で気づいたとしています。

一方で、8月の案内に従って環境変数を自分の専用サーバーへ移したプロジェクトは、今回データベースから読まれた範囲に入っていません。

12月31日でサービスを終える

Zeaburは10月17日、サービスを段階的に終えると発表しました。

ドメインは、ダッシュボードから自分でほかの登録業者へ移せます。返金と補償は別々の申請です。

影響する人・会社、しない人・会社

• 影響する: Zeaburでサービスを動かしている会社と、開発者の個人の契約で業務のサービスを載せている会社です。環境変数の中のAPIキーやデータベースのパスワードは、漏れた前提で差し替えます。
• 影響する: Zeaburの共有クラスターでn8nやPostgreSQLを動かしていた会社です。中のデータや外部サービスの認証情報も、漏れた前提で扱います。
• 影響する: ZeaburのGCPの専用サーバーを使っていた会社です。Zeaburは、サーバーは侵入されたものとして扱い、作り直すよう求めています。
• 影響する: ZeaburのGitHub Appにリポジトリへのアクセスを許していた会社です。10月15日の操作の記録を確かめます。
• 影響しない: Zeaburを使っていない会社です。ただし、社員や委託先が個人で契約している場合があるので、聞かないと分からないことがあります。

会社・情シスが今日やること

1. Zeaburを使っているかを確かめます。 開発部門や委託先、データ分析の担当に、Zeaburで動かしているサービスやn8nが無いかを聞きます。請求の記録や経費の精算も手がかりになります。
2. 環境変数の鍵を、すべて差し替えます。 APIキー、クラウドのキー、データベースのパスワード、署名と暗号の鍵が対象です。報告の手順どおり、先に各サービスで古いものを無効にしてから、新しいものを作って配備し直します。8月に差し替えたものも、もう一度差し替えます。
3. データベースの中のパスワードも変えます。 Zeaburの環境変数を変えるだけでは、データベースの中のパスワードは変わりません。データベースに利用者のログインの情報やトークンがあれば、それも無効にします。n8nは暗号の鍵を変え、中の認証情報を作り直します。
4. 請求と利用の記録を確かめます。 各サービスの10月14日以降の利用量と請求を見ます。GCPの専用サーバーを使っていた場合は、9月1日までさかのぼります。
5. 移行の計画を立てます。 12月1日から順に止まるため、移す先、移す順番、ドメインの移管、データのバックアップを今のうちに決めます。データの削除日はまだ決まっていないので、発表を待たずに進めます。