開発者向けホスティング・デプロイ基盤のZeaburで、2026年10月14〜15日に内部認証情報を悪用した侵害が起きました。環境変数レコード約322万件などが読み取られ、Zeaburは12月からサービスを段階的に停止し、年末までに終了します。
10月の侵害で読み取られた情報
攻撃者は平文で保存されていた内部認証情報を使い、9地域の共有クラスターや一部の専用サーバー、Zeaburの内部システムに侵入しました。最終的にプラットフォームのデータベースに接続し、保存データを読み取りました。
読み取られた環境変数は3,218,965件で、アカウント情報は321,810件分に及びます。zSendのAPIキー566個も読み取られ、Zeaburは失効させました。
GCP上の専用サーバーでは、92人のユーザーに関係する101台へのrootログインが確認されました。攻撃者は50台にSSHキーを追加し、顧客のディスクコピー16件を自身の仮想マシンに接続していました。
環境変数に含まれる認証情報のリスク
プロジェクトの環境変数には、AIサービスなど第三者サービスのAPIキー、クラウドのアクセス認証情報、データベースの接続情報やパスワードが含まれることがあります。アプリケーションの署名キーやプロジェクト設定も対象になり得ます。
今回の攻撃では、攻撃者が環境変数や設定ファイルからAPIキーや秘密鍵を探し、特にAIサービスで使えるキーを狙っていたとZeaburは説明しています。n8nやnew-api／one-apiの認証情報を広く読み取り、ZeaburのAWSキーでAmazon Bedrockを呼び出そうとした記録もありました。
8月の侵害でも、読み取られた環境変数には第三者サービスのAPIキー、クラウド認証情報、データベースのパスワードなどが含まれていました。攻撃者は取得したAWSルートキーでクラウド基盤にアクセスし、共有クラスターを経由して本番データベースに到達しました。
共有型サービスと利用者の責任
Microsoftのクラウド責任分担モデルでは、IaaS、PaaS、SaaSのどれを使うかによって、事業者と利用者が担う範囲が変わります。PaaSでは基盤の一部を事業者が管理する一方、アプリケーション設定やコードの安全性、アクセス制御には利用者も関わります。
このモデルでは、サービス形態にかかわらず、データや利用者のID、アカウント管理、アクセス制御は利用者側の責任として挙げられています。Zeaburに保存した認証情報が流出した場合、利用者のサービスで使うキーやパスワードの差し替えも必要になります。
Google Cloudの責任分担モデルでも、IaaSでは利用者が担うセキュリティ上の作業が多く、PaaSでは事業者の担当範囲が広がる一方、アプリケーションレベルの制御やID・アクセス管理は共有領域とされています。どの形態でも、利用者はデータやアクセス方針を管理し、事業者は基盤を保護します。
12月から始まるサービス停止
Zeaburは事業を段階的に終了します。12月1日から専用サーバーの更新を止め、各サーバーは個別の契約期限に停止します。同日、共有クラスター上の稼働中サービスも一時停止します。
共有クラスターのサービスは手動で再起動でき、データのバックアップに利用できます。すべての専用サーバーと共有クラスターは12月31日までに停止する予定です。
新規の専用サーバーとドメインの購入受付はすでに停止し、アカウント残高の返金や侵害による損失の補償申請をZeabur Supportで受け付けています。データ削除日、最終エクスポート期限、サポート終了日、移行ガイドの公開時期は今後案内されます。
