67.000 $ in 19 ore: una chiave Android di Firebase del 2016

A una piccola startup sudcoreana sono stati addebitati circa 67.000 $ tra le prime ore del 18 aprile e la mattina del 19 aprile 2026 (ora coreana). Una botnet chiamava la Gemini API con una chiave API Android che Firebase aveva creato per il progetto nel lontano 2016.

Secondo l'autore del post, la policy di Google del maggio 2024 che limita automaticamente chiavi come questa non le era mai stata applicata, quindi una chiave di dieci anni poteva ancora raggiungere un'API che non esisteva quando era stata creata.

La prima contestazione è stata respinta; l'autore cita il supporto Google: "we are unable to make adjustments to these particular charges." (cioè, «non siamo in grado di rettificare questi specifici addebiti»). La pratica è stata portata più in alto tramite il loro rivenditore e, all'aggiornamento dell'autore del 23 maggio, era ancora in attesa presso il team di analisi delle cause di Google.

• Verificare le chiavi vecchie. Ogni chiave che un progetto abbia mai creato può raggiungere ogni API attivata in seguito, a meno che non sia limitata. Controlla la pagina delle credenziali dei progetti vecchi e limita o elimina ciò che non usi.
• Una quota sull'API costosa. Una quota giornaliera di richieste su Gemini limita i danni di qualsiasi chiave, vecchia o nuova.
• Rilevamento dei picchi con un'azione automatica. Il traffico Gemini di una botnet è un salto enorme rispetto a una giornata normale. Rilevato in pochi minuti e gestito con un Soft Kill o un Hard Kill, è una brutta mattinata, non una da 67.000 $.