開発プラットフォームのZeaburは、サイバーセキュリティインシデントの詳細を公表しました。攻撃者は平文で保存されていた内部認証情報の漏えいを悪用して同社のインフラに侵入し、320万件を超える環境変数レコードと、321,810アカウントの情報を盗み出しました。
攻撃者は盗んだ管理者の認証情報とクラウドのアクセスキーを使い、Zeaburの共有ホスティング基盤や専用サーバーに侵入しました。最終的には本番データベースへのアクセスにも成功しています。
「2026年10月14日から15日にかけて、攻撃者は漏えいしたZeabur内部の認証情報を使って共有クラスター、一部の専用サーバー、Zeabur内部システムに侵入し、最終的にプラットフォームのデータベースを読み取りました」と、Zeaburの発表には記されています。
Zeaburは開発者向けのホスティング・デプロイプラットフォームです。GitHubリポジトリを接続するだけで、デプロイ、データベース、HTTPS、インフラ管理をプラットフォームが代行します。
同社は2026年8月下旬にも、別のセキュリティ侵害を受けています。このときはハッカーが顧客のNextChatアプリケーションの脆弱性を突き、分離が不十分だった内部システムを経由して侵入を広げました。
その結果、AWSの認証情報が盗まれ、本番データベースにもアクセスされました。データベースに保存されていたアカウント情報、APIキー、その他の機密情報が流出しています。
今回のインシデントについてZeaburは、被害がより広範囲に及んだと説明しています。影響を受けたのは9リージョンの共有クラスター、321,810アカウント、約320万件の環境変数レコードです。
また、Zeaburは92人のユーザーによる101台のGCPサーバーへのrootサインインを確認しました。攻撃者は50台のサーバーにSSHキーを追加し、16件の顧客ディスクのコピーを自らの仮想マシンにアタッチしていました。
同社によると、2度目の攻撃で使われた認証情報は、8月の侵害時に攻撃者が入手した可能性が高いとのことです。ただし、確認はできていません。
Zeaburは認証情報を暗号化して保存していなかっただけではありません。8月のインシデント以降も、すべての管理者アカウントの認証情報を更新していませんでした。さらに、管理者ポータルは公開インターネットからアクセス可能な状態のままでした。
「管理者トークンには有効期限がなく、2024年1月の作成以降ローテーションされておらず、8月以降のローテーション対象にも含まれていませんでした」とZeaburは説明しています。
ユーザーには、漏えいした認証情報とシークレットを直ちにローテーションし、すべてのアクティブセッションを無効化したうえで、侵害を受けたGCPサーバーを再構築するよう呼びかけています。
8月のインシデント対応で顧客自身のサーバーのみに移行済みだった変数は、今回のプラットフォームデータベースの流出を免れました。ただし、侵害されたホストを通じて漏えいする可能性は残っています。
Zeaburがサービス終了を発表
Zeaburは今回のセキュリティインシデントの発覚後、週末にサービスを終了すると発表しました。2026年12月1日から段階的に停止し、2026年12月31日までに完了する予定です。
同社は3年半にわたり成長を続け、2026年は過去最高の年となっていました。しかし、市場の需要に合わせて事業を拡大するほど運営は複雑になり、維持が難しくなっていたといいます。最近のセキュリティ上の不備は、その状況を反映したものだと説明しています。
「8月のインシデントの後、私たちは今後どうすべきか、長い時間をかけて議論し、悩みました」と、Zeaburは説明しています。
「今回のインシデントを受け、運営を続けるために何が必要か、そして私たちのチームが担える責任は何かを改めて検討しました。その結果、事業を畳むことを決断しました」
12月1日には更新機能が無効になり、共有クラスター上で稼働中のすべてのサービスが一時停止されます。年末までにはすべての専用サーバーが期限切れとなって停止し、共有クラスターもすべて停止します。
データ移行のために追加の猶予期間が設けられる可能性はありますが、具体的なスケジュールはまだ示されていません。
