82.314 $ en 48 horas: una clave pública de Maps que podía llamar a Gemini

Una startup mexicana de tres personas solía gastar unos 180 $ al mes en Google Cloud. Su clave de API estaba incrustada en el código de su web para usar un servicio de Maps, algo normal en las claves de navegador. Entonces un compañero activó la API de Gemini en el mismo proyecto, y esa clave pública pasó a poder llamar también a Gemini.

La clave se usó de forma abusiva el 11 y el 12 de febrero de 2026, y se acumularon unos 82.314,44 $ en cargos de Gemini en aproximadamente 48 horas. El desarrollador, citado por The Register a partir de su publicación en Reddit: "I am in a state of shock and panic right now" («Ahora mismo estoy en estado de shock y pánico»). La empresa de seguridad Truffle Security encontró 2.863 claves activas expuestas de la misma forma.

El desarrollador eliminó la clave, desactivó Gemini y rotó las credenciales. El soporte de Google se remitió al modelo de responsabilidad compartida y dijo que los cargos se mantenían. No se informó de ningún reembolso.

• Restringir la clave. Una clave de navegador restringida a las API de Maps que necesita no puede llamar a Gemini, se active lo que se active en el proyecto.
• Una cuota en la API cara. Una cuota diaria de peticiones en la API de Gemini acota lo que puede gastar una clave robada (cómo fijar límites).
• Detección de picos desde cero. Un servicio sin ningún uso que de repente tiene miles de peticiones es la anomalía más clara posible. Vigilar el uso de Gemini lo habría señalado en minutos, y una acción automática podría haberlo detenido el primer día en lugar del tercero.