US$ 67.000 em 19 horas: uma chave Android do Firebase de 2016

Uma pequena startup sul-coreana foi cobrada em cerca de US$ 67.000 entre o início de 18 de abril e a manhã de 19 de abril de 2026 (horário da Coreia). Uma botnet estava chamando a API do Gemini com uma chave de API Android que o Firebase havia criado para o projeto em 2016.

Segundo o autor do post, a política do Google de maio de 2024 de restringir automaticamente chaves como essa nunca havia sido aplicada a ela, então uma chave de dez anos ainda conseguia acessar uma API que nem existia quando ela foi criada.

A primeira contestação foi negada; o autor cita o suporte do Google: "we are unable to make adjustments to these particular charges." ("não podemos fazer ajustes nessas cobranças específicas.") O caso foi escalado por meio do revendedor deles e, na atualização do autor de 23 de maio, ainda estava pendente com a equipe de análise de causa raiz do Google.

• Auditar chaves antigas. Toda chave que um projeto já criou pode acessar todas as APIs ativadas nele depois, a menos que esteja restrita. Revise a página de credenciais dos projetos antigos e restrinja ou exclua o que você não usa.
• Uma cota na API cara. Uma cota diária de requisições no Gemini limita o dano de qualquer chave, antiga ou nova.
• Detecção de picos com ação automática. O tráfego do Gemini vindo de uma botnet é um salto enorme em relação a um dia normal. Detectado em minutos e respondido com um Soft Kill ou um Hard Kill, vira uma manhã ruim, não uma de US$ 67.000.