67.000 $ en 19 horas: una clave de Android de Firebase de 2016

A una pequeña startup surcoreana se le cobraron unos 67.000 $ entre la madrugada del 18 de abril y la mañana del 19 de abril de 2026 (hora de Corea). Una botnet estaba llamando a la API de Gemini con una clave de API de Android que Firebase había creado para el proyecto en 2016.

Según el autor de la publicación, la política de Google de mayo de 2024 de restringir automáticamente claves como esta nunca se le había aplicado, así que una clave de diez años aún podía llegar a una API que no existía cuando se creó.

La primera reclamación fue denegada; el autor cita al soporte de Google: "we are unable to make adjustments to these particular charges." («no podemos hacer ajustes en estos cargos concretos.») Se escaló a través de su revendedor y, según la actualización del autor del 23 de mayo, seguía pendiente en el equipo de análisis de causa raíz de Google.

• Auditar las claves antiguas. Cualquier clave que un proyecto haya creado puede llegar a cualquier API que se active después en él, salvo que esté restringida. Revisa la página de credenciales de los proyectos antiguos y restringe o elimina lo que no uses.
• Una cuota en la API cara. Una cuota diaria de peticiones en Gemini acota el daño de cualquier clave, antigua o nueva.
• Detección de picos con una acción automática. El tráfico de Gemini desde una botnet es un salto enorme respecto a un día normal. Detectado en minutos y respondido con un Soft Kill o un Hard Kill, es una mala mañana, no una de 67.000 $.