Trigger.dev 遭駭客未授權存取部分客戶環境變數

開源工作流程執行平臺 Trigger.dev 證實發生資安事件，攻擊者未經授權存取了部分客戶組織的環境變數。Trigger.dev 提供開發者以 TypeScript 建立背景工作、排程任務及 AI 代理流程，環境變數在系統中常用於配置執行設定及存放 API 金鑰、存取權杖或資料庫連線密碼。若攻擊者取得有效憑證，恐進一步危及客戶串接的外部服務。Trigger.dev 技術長 Eric Allam 表示，公司已封堵該攻擊途徑，並向受影響帳戶寄送風險緩解措施通知。目前官方尚未公開具體攻擊手法、受影響客戶數量及遭存取的變數詳情，亦無法確定標示為 Secret 的機密變數是否外洩；官方狀態頁已於臺灣時間 11 月 2 日上午將 API 相關事故標記為已解決，並承諾後續公布更多細節。

值得帶走的重點

• Trigger.dev 證實攻擊者未經授權存取部分客戶環境變數，攻擊途徑已封堵並展開客戶通知。
• 環境變數常用於存放 API 金鑰與資料庫密碼，憑證洩漏恐增加串接外部服務遭橫向存取的資安風險。
• 官方尚未公布攻擊細節、受影響組織數目及 Secret 機密變數是否被讀取，後續將發布更多事故報告。