Google Cloud: scoperta falla nei limiti di spesa mette a rischio i clienti
Un cliente riceve una fattura da oltre 18.000 dollari per un attacco via API, nonostante i limiti di budget e sicurezza attivati.
Un consulente AI australiano ha ricevuto una fattura Google Cloud di oltre 18.000 dollari dopo che un attacco ha sfruttato una API key dimenticata in un progetto pubblico, eludendo il budget impostato a soli 7 dollari. Il servizio cloud ha processato più di 60.000 richieste tramite una chiave API archiviata in chiaro come variabile d'ambiente nel contenitore del servizio, senza che il link fosse né indicizzato né condiviso pubblicamente.
Nonostante la presenza di pratiche di sicurezza come autenticazione a due fattori e audit log, l'incidente è stato aggravato dal fatto che nove funzioni di sicurezza di Google Cloud erano disattivate di default. L'attacco non ha richiesto furto di credenziali, ma si è basato sull'accessibilità pubblica del servizio e sulla firma automatica delle richieste tramite il proxy di Google.
Il caso ha inoltre evidenziato come Google abbia aumentato automaticamente il limite di spesa a livelli molto superiori senza notifica preventiva, permettendo così la crescita incontrollata della fatturazione. Esperienze simili sono state segnalate da altri utenti, alcuni colpiti da debiti fino a 128.000 dollari. Gli operatori del settore segnalano rischi strutturali legati alla gestione delle API key e all’attivazione delle API Gemini. Serve maggiore attenzione alle policy di sicurezza e limiti di spesa su Google Cloud.
