📻 Versión en audio: si prefieres escuchar en vez de leer, el resumen del artículo está justo aquí arriba.
Las 11:43 UTC de este viernes, un alerta de amenaza de Wiz encendió la luz roja en Northflank. Una hora y media después, la plataforma —donde miles de equipos guardan sus secretos para desplegar aplicaciones— les pedía a todos sus usuarios algo que no se lee todos los días: asuman que todas sus variables de entorno fueron descifradas y roten absolutamente todos los secretos. Workloads, secret groups, secretos globales. Todo.
Qué pasó, en corto
Northflank es una PaaS: le entregas tu repositorio y ella se encarga de construir, desplegar, escalar y hasta administrar tus bases de datos como addons, con tus claves guardadas en su bodega centralizada de secretos. La cronología pública del incidente del 30 de octubre de 2026, en UTC: alerta de Wiz a las 11:43, los ingenieros la revisaron al minuto, el primer parche de políticas de red a las 12:02, parches adicionales a las 12:50 y 13:05, y a las 13:00 ya habían pedido apoyo al CIRT de Wiz. La plataforma completó una caída de nivel mayor en siete componentes: redes, certificados, servicios, addons, jobs, builds y logs.
A mediodía habilitaron rotación de secretos de Postgres y MongoDB para todos los usuarios y el consejo fue contundente: desactiva la exposición pública de addons si la tienes activada. Y el detalle que a mí me parece el más revelador del asunto: varios usuarios confirmaron que les usaron las claves de IA. No defacearon nada ni borraron bases de datos: alguien con acceso a los secretos se dedicó a gastar la cuota de API de otros. La factura de ese abuso llega a tu correo, no al del atacante.
El problema no es Northflank, es el modelo
Puede que nunca uses Northflank. Igual te afecta, porque esta wea no es de una empresa: es del modelo. Railway, Render, Vercel, Heroku y prácticamente todas las plataformas modernas funcionan igual —le entregas los secretos y ella los inyecta a tus servicios—. La comodidad tiene un costo oculto: tu radio de impacto deja de ser tu aplicación y pasa a ser la plataforma completa. Cuando a la plataforma le va mal, te va mal gratis.
Yo vivo la contraparte todos los días administrando mis propios servidores: credenciales repartidas en archivos de configuración, jobs de respaldo con sus llaves, un .env por proyecto. Es más pega, nadie lo va a discutir. Pero cuando una máquina mía se complica, el daño queda contenido a esa máquina y roto lo que ahí vivía. En una PaaS, todo lo que confiaste ahí se compromete de una sola vez y ni siquiera tienes forma de auditar qué exactamente se leyó. Eso es lo que esta brecha dejó a la vista.
Lo que haría hoy si fuera usuario de una de estas plataformas
No es un sermón anti-PaaS; yo uso servicios administrados igual que cualquiera. Pero después de leer la recomendación oficial —»asuman que todo está comprometido»—, hay cuatro cosas que aplico por defecto:
Primero, límites de gasto en cada clave de API. Si te roban una llave de IA, que el desastre máximo sea un tope de uso, no una factura de fin de mes. Segundo, exposición mínima: si tienes un addon con acceso público, apágalo. Lo pidió la propia plataforma y es sentido común. Tercero, no le des a ninguna plataforma tercerizada un secreto que no estés dispuesto a rotar bajo presión un viernes en la tarde. Cuarto, y la más incómoda: si tu plan de rotación de secretos es «nunca he rotado nada», hoy es un buen día para empezar.
Lo rescatable del incidente es que Northflank no lo maquilló: publicó la cronología, nombró a Wiz como origen de la detección y pidió asumir lo peor antes de saber quién fue. Honestidad como esa escasea. Pero deja una duda enorme con fecha y hora: cuando le entregas tus secretos a una plataforma, están tan seguros como su peor día. Y los peores días, como lo muestra este viernes, pasan sin avisar.
Fuente de inspiración: Security incident — Northflank Status
