Northflank Sızıntısı ve Black October: AI API Anahtarlarınız İçin Ne Değişti?

Northflank sızıntısı, bulut barındırma platformu Northflank'in 30 Ekim 2026'da duyurduğu ve müşterilerinden ortam değişkenlerindeki bütün sırları çalınmış saymalarını istediği güvenlik olayıdır. Birden fazla müşteri, platformda sakladığı AI API anahtarlarının izinsiz kullanıldığını bildirdi. Güvenlik firması Wiz'e göre olay tek değil: ekim ayında en az dokuz AI geliştirme platformu benzer bir olay açıkladı. İşletmeler için sonuç açık: AI anahtarı artık doğrudan para değeri taşıyan bir sırdır. Böyle bir platformda duruyorsa önce sağlayıcıda iptal edilip yenilenmeli, sonra kullanım ve fatura kayıtları incelenmelidir.

Northflank sızıntısında 30 Ekim'de ne değişti?

Northflank, durum sayfasında 30 Ekim 2026'da güvenlik firması Wiz'den gelen tehdit uyarısının ardından müşterilerine ortam değişkenlerini hemen yenilemelerini söyledi. Şirketin aynı günkü ikinci notu daha netti: bütün ortam değişkenlerinin şifresinin çözüldüğünü varsayın, bütün anahtarları devre dışı bırakın ya da yenileyin. Aynı gün birden fazla kullanıcı, platformda sakladığı AI anahtarlarının başkaları tarafından kullanıldığını bildirdi. BleepingComputer'ın haberine göre Northflank saldırganların nasıl girdiğini ve kaç müşterinin etkilendiğini açıklamadı.

Northflank'in 2 Kasım güncellemesi tabloyu biraz daraltıyor. Şirkete göre saldırı yolu ilk uyarıdan sonraki bir saat içinde kapatıldı, çalışan iş yüklerinde ve verilerinde erişim izi bulunmadı, saldırı kontrol düzlemindeki sırlara odaklandı. Olayı bağımsız adli denetçiler inceliyor, kök neden analizi bulgular doğrulanınca yayımlanacak. Platform bu sürede Postgres, MongoDB, MySQL, Redis, MinIO ve RabbitMQ eklentileri için sır yenileme özelliğini açtı ve denetim kayıtlarını ücretsiz hesaplar dahil bütün müşterilere açtı.

Black October: ekimde hangi AI platformları etkilendi?

Black October, Wiz'in ekim ayındaki saldırı dalgasına verdiği addır. Wiz, 30 Ekim'de yayımladığı raporda en az dokuz AI geliştirme platformunun ay içinde olay açıkladığını yazıyor: Fireworks AI, Andromeda, Zeabur, Lightning AI, OpenCode, Railway, Warp, CommandCode ve Northflank. Rapor sonradan Brev (NVIDIA) ve Trigger.dev ile güncellendi. Zeabur ise olayın ardından kapanıyor.

Wiz'e göre bu saldırıları birbirine bağlayan tek bir açık ya da bağımlılık yok, ama hedef ortak: saldırganlar özellikle AI erişimi veren ortam değişkenlerini arıyor. Fireworks, Zeabur ve Lightning kök nedeni kimlik bilgisi erişimine bağlıyor. Railway ilk erişimi derleme altyapısındaki bir yetki yükseltmesine, Warp ise üçüncü taraf bir tedarikçiye bağlıyor.

Çalınan bir AI API anahtarı işletmeye neye mal olur?

Çalınan bir AI API anahtarı, faturası size gelen bir model hesabı demektir. Bu kötüye kullanıma LLMjacking deniyor: çalınan kimlik bilgileriyle başkasının hesabından model çalıştırmak ya da bu erişimi aracılar üzerinden satmak. Wiz'in incelediği iki kurumsal vakada çalınan kimlik bilgileri Amazon Bedrock üzerinde kullanıldı. İlk vakada 30 saati aşan sürede yaklaşık 800.000, ikincisinde 13 saati aşan sürede yaklaşık 1,7 milyon çağrı yapıldı. Wiz'e göre liste fiyatıyla bu iki vakanın kullanımı 100.000 doları aştı. İlk vakada başarılı çağrıların yaklaşık dörtte üçü Anthropic'in Opus modellerine gitti.

Zamanlama da önemli. İlk vakada anahtar, ele geçirildikten sonraki 30 dakika içinde denendi. İkinci vakada asıl yük, ilk denemeden yedi gün sonra ortaya çıktı. Bizim okumamız şöyle: bugün faturada olağan dışı bir şey görmemeniz anahtarın güvende olduğunu göstermez. Wiz ayrıca bireysel kullanıcılarda yüzlerce ile binlerce dolar arası faturalardan ve Railway'de saklanan kripto anahtarlarıyla yaklaşık 371.000 dolarlık iddia edilen bir hırsızlıktan söz ediyor.

Northflank sızıntısında ne değişmedi?

Northflank sızıntısında birçok soru hâlâ açık ve anahtar güvenliğinin temel kuralı aynı kaldı. Dört noktayı ayırmak gerekir.

• Giriş yolu belli değil: Northflank saldırganın nasıl girdiğini ve kaç müşterinin etkilendiğini henüz açıklamadı. Kök neden analizi bekleniyor.
• Olaylar hâlâ inceleniyor: Wiz, olayların çoğunun hâlâ analiz edildiğini ve ayrıntılı teknik bilginin henüz bulunmadığını yazıyor.
• Satış bağı kanıtlanmadı: Wiz, çalınan anahtarları satan aracı hizmetlerle bu sızıntılar arasındaki bağı kesin olarak kuramadığını açıkça belirtiyor. Ama raporuna göre bu anahtarlar için etkin bir pazar var.
• Risk sizin anahtarınızda: Saldırıları bağlayan tek bir açık olmadığı için "o platformu kullanmıyoruz" demek yetmez. Anahtarınızı tutan her üçüncü taraf hizmet aynı soruyu doğurur.

Hangi anahtarı önce yenilemelisiniz?

Anahtar yenileme sırası için Northflank'in 2 Kasım önerisi iyi bir başlangıç: önce AI sağlayıcı anahtarları, sonra bulut kimlik bilgileri, ödeme anahtarları, özel anahtarlar ve veritabanı kimlik bilgileri. Aşağıdaki tablo bu sırayı işletme diline çeviriyor. "Çalınırsa ne olur?" sütunu bizim değerlendirmemizdir.

Anahtarları yenilerken neye dikkat edilmeli?

Anahtarları yenilerken dört noktaya dikkat edin: iptalin yeri, gecikmeli kötüye kullanım, bağlantılar ve yasal bildirim.

• İptal sağlayıcıda yapılır: Northflank, anahtarı yalnız kendi panelinde değiştirmeyi değil, sağlayıcıda iptal edip yenisini üretmeyi öneriyor. Eski anahtar sağlayıcıda geçerli kaldıkça çalınan kopya da çalışır.
• Kayıtlar ve fatura: Sağlayıcınızın kullanım ve fatura kayıtlarını inceleyin. Northflank beklenmedik kullanım için OpenAI ya da Anthropic gibi sağlayıcılarla iletişime geçmeyi öneriyor. Wiz'in ikinci vakası kötüye kullanımın günler sonra başlayabileceğini gösteriyor.
• Bağlantılar: Northflank kendi erişim jetonlarını, oturumları ve sürüm kontrol bağlantılarını iptal etti. Müşterilerin yeniden giriş yapıp entegrasyonlarını yeniden bağlaması gerekiyor.
• KVKK: Ortam değişkenlerinizde müşteri veritabanının şifresi de duruyorsa, olayın kişisel veri ihlali olup olmadığını değerlendirin. KVKK duyurusuna göre veri sorumlusu ihlali öğrendiği tarihten itibaren en geç 72 saat içinde Kurula bildirmelidir. Veri işleyendeki bir ihlal de veri sorumlusuna gecikmeden bildirilmelidir. Northflank çalışan iş yüklerinde ve verilerde erişim izi bulmadığını söylüyor, yine de değerlendirme kendi kayıtlarınıza dayanmalıdır. Bu hukuki görüş değildir.

Bu haber işletmeniz için ne anlama geliyor?

Northflank sızıntısı çoğu işletme için "barındırma platformunu hemen değiştirelim" değil, "anahtarlarımız nerede duruyor?" sorusudur. Örneğin web sitesinde hastaların randevu sorularını yanıtlayan bir AI asistan kullanan bir diş kliniğini düşünün. Asistanın AI anahtarı ile randevu veritabanının şifresi aynı platformun ortam değişkenlerinde duruyorsa, tek bir sızıntı hem beklenmedik bir AI faturası hem de hasta kayıtları için bir ihlal değerlendirmesi demektir. Klinik sitesini bir ajansa yaptırdıysa, anahtarların hangi platformda durduğunu ajansın bilmesi ve size yazılı olarak söyleyebilmesi gerekir.

Bu adımlar kimler için uygun, kimler için değil:

• Uygun: Uygulamasını Northflank, Railway ya da Wiz'in listesindeki başka bir platformda barındıran; ortam değişkenlerinde AI, ödeme ya da veritabanı anahtarı tutan; geliştirmeyi ajansa veya serbest çalışana yaptıran işletmeler.
• Uygun değil: AI'yı yalnız ChatGPT ya da Claude'un web arayüzünden kullanan ve hiç API anahtarı oluşturmamış işletmeler için anahtar yenileme gündemde değildir.

Bu hafta atabileceğiniz üç adım:

1. Bir anahtar envanteri çıkarın: hangi AI, bulut, ödeme ve veritabanı anahtarı hangi platformda, ajansta ya da otomasyon aracında duruyor?
2. Wiz'in listesindeki bir platformu kullanıyorsanız anahtarları yukarıdaki tablodaki sırayla sağlayıcıda iptal edip yenileyin.
3. AI sağlayıcınızın ekim ayından bu yana kullanım ve fatura kayıtlarını inceleyin, açıklayamadığınız artışı sağlayıcıya ve platforma bildirin.

Kendi AI asistanınızı kurarken anahtarların nerede duracağını baştan planlamak gerekir; bunun için AI asistan kurulum rehberimize bakabilirsiniz. Tekrarlayan iş akışlarında otomasyon hizmetimiz, çok adımlı işlerde AI agent hizmetimiz yol gösterir. Hazır araçların nerede yetmediğine no-code otomasyon araçları yazımızda, kullanım limitleri ve kullanım kredilerine Claude Ultra yazımızda baktık.

Kaynaklar

Son kontrol: 2 Kasım 2026.

• Northflank: güvenlik olayı durum sayfası
• Wiz: AI geliştirme platformları için "Black October"
• BleepingComputer: Northflank sızıntısı ve AI API anahtarlarının kötüye kullanımı
• KVKK: veri ihlali bildirimi duyurusu
• GDPR madde 33: veri ihlalinin denetim makamına bildirilmesi
• DSGVO madde 33: Almanca metin

Bir sonraki adım

AI asistanınızın ve otomasyonlarınızın anahtarlarını nerede ve nasıl tuttuğunu netleştirmek isterseniz AI asistan hizmet sayfamıza göz atabilir, iletişim formundan kısa bir keşif görüşmesi isteyebilir ya da 0850 840 08 23 numaralı hattı arayıp sesli asistanımız Azra ile canlı görüşebilirsiniz.

Sık sorulan sorular

Northflank kullanmıyorsam etkilenir miyim?

Doğrudan etkilenmezsiniz, ama risk yalnız Northflank'te değil. Wiz ekim ayında en az dokuz AI geliştirme platformunda olay sayıyor ve bunları bağlayan tek bir açık bulunmuyor. Anahtarlarınızı tutan her platformun ve ajansın açıklamalarını kontrol edin.

LLMjacking nedir?

LLMjacking, çalınan bulut ya da AI kimlik bilgileriyle başkasının hesabından yapay zekâ modeli çalıştırmak veya bu erişimi satmaktır. Fatura anahtarın sahibine gelir. Wiz'in incelediği iki vakada kullanım, liste fiyatıyla 100.000 doları aştı.

AI API anahtarımın çalındığını nasıl anlarım?

Sağlayıcınızın kullanım ve fatura kayıtlarında açıklayamadığınız bir artış olup olmadığına bakın. Wiz'in bir vakasında asıl kötüye kullanım ilk denemeden yedi gün sonra başladı, yani bugün temiz görünen kayıt yeterli kanıt değildir. Şüphe varsa anahtarı sağlayıcıda iptal edip yenileyin.

Anahtarı yeniledim, KVKK bildirimi gerekir mi?

Bu, kişisel verilere yetkisiz erişim olup olmadığına bağlıdır. Ortam değişkenlerinde müşteri veritabanının şifresi de varsa durumu değerlendirin. KVKK duyurusuna göre ihlal, öğrenildiği tarihten itibaren en geç 72 saat içinde Kurula bildirilmelidir. Emin değilseniz hukukçunuza danışın.