67 000 $ en 19 heures : une clé Android Firebase datant de 2016

Une petite startup sud-coréenne s'est vu facturer environ 67 000 $ entre le début du 18 avril et le matin du 19 avril 2026 (heure coréenne). Un botnet appelait l'API Gemini avec une clé d'API Android que Firebase avait créée pour le projet dès 2016.

Selon l'auteur du message, la politique de Google de mai 2024 visant à restreindre automatiquement les clés de ce type n'y avait jamais été appliquée ; une clé vieille de dix ans pouvait donc encore atteindre une API qui n'existait pas lors de sa création.

La première contestation a été rejetée ; l'auteur cite le support Google : "we are unable to make adjustments to these particular charges." (« nous ne sommes pas en mesure d'ajuster ces frais en particulier »). L'affaire a été remontée via leur revendeur et, à la date de la mise à jour de l'auteur du 23 mai, elle était toujours en attente auprès de l'équipe d'analyse des causes profondes de Google.

• Auditer les anciennes clés. Chaque clé qu'un projet a créée peut atteindre toutes les API activées ensuite sur ce projet, à moins d'être restreinte. Passez en revue la page des identifiants de vos anciens projets et restreignez ou supprimez ce que vous n'utilisez pas.
• Un quota sur l'API coûteuse. Un quota de requêtes quotidien sur Gemini limite les dégâts de n'importe quelle clé, ancienne ou récente.
• La détection de pics avec une action automatique. Le trafic Gemini d'un botnet représente un bond énorme par rapport à une journée normale. Détecté en quelques minutes et traité par un Soft Kill ou un Hard Kill, c'est une mauvaise matinée, pas une matinée à 67 000 $.