第三方平台库环境变量被掏三百万条？华为云 IAM 访问密钥先停再用费用中心对账

周一早上，财务把账单截图丢进群里：按需费用从周中抬升，多出一批你没下过单的计算与对象存储。运维打开统一身份认证服务，看到一把半年前给「第三方部署平台」用的永久 Access Key，最近使用时间正好落在那几天。

再对上公开通报：某 PaaS 平台库里的环境变量被整库读走，攻击者在数据里搜 API 与 AI Key。若你曾把华为云永久 Access Key（AK/SK）写成环境变量放进这类平台侧数据库，就应按「已泄露」处理——先停用 IAM 访问密钥，再缩权、清异常资源、对账。下面按公开外证与华为云官方文档，拆谁受损、三条边界与控制台止血清单。示例一律打码。

一、外证怎么读：平台库里的「账单钥匙」

Zeabur 十月事件（只引官方已确认数字）

Zeabur 于 2026 年 10 月 19 日发布初步报告《Zeabur 2026 年十月安全事件》。可核对的事实包括：

• 平台数据库中存放的服务环境变量（名称与值）遭读取：3,218,965 条（已确认）
• 账号数据（电子邮箱、用户名、手机号码等）及相关项目 / 环境 / 服务数据：账号 321,810 条（已确认）
• 攻击窗口约 2026 年 10 月 14 日至 15 日（UTC）；攻击者搜索 API 密钥与私钥，并侧重可直接使用的密钥，尤其是 AI 服务密钥
• 官方要求：更换存放在 Zeabur 的所有密码与密钥（含云密钥），即使八月后已换过；核对账单自 2026 年 10 月 14 日起；GCP 专用服务器用户回溯到 9 月 1 日

报告同时写明：八月后已按指引迁移、且 Zeabur 不再保存的环境变量，不在这次平台数据库遭读取范围内；仍存放在平台库的一并遭读取。最初凭证如何取得、部分备份是否下载等，官方仍标「无法确认」或「推测」——本文只引用「已确认」数字与处置建议。

中文公告：https://zeabur.com/zh-CN/blogs/october-2026-security-incident
英文公告：https://zeabur.com/blogs/october-2026-security-incident

映射到华为云：为什么是「账号买单」

华为云官方文档写得很直白（摘要转述，以文档为准）：账号是资源归属与计费主体；密码与访问密钥（AK/SK）对账号效力同等——密码登录控制台，访问密钥用于 API / CLI / SDK。Access Key 不能登录控制台，但在权限范围内可创建、变更、删除资源，按需费用照样记在账号账单上。官方建议：不要给账号（根）创建访问密钥；日常用单独 IAM 用户；不要把访问密钥嵌入代码；编程侧优先临时安全凭证或委托，而不是把永久 AK 嵌进脚本或第三方平台环境变量。

因此，若永久 AK/SK 曾作为环境变量存在第三方 PaaS / 平台库：平台库被读后，名称与值一并落在攻击者手里；对方用编程方式调华为云 API（在该 IAM 用户权限范围内），开按需资源或拉对象存储；费用中心曲线抬升，钱记在账号，不记在那家 PaaS 的客服工单号里。

虚构打码示例（勿当真钥，仅供对照自家「最近使用时间」）：

IAM 用户：iam-paas-deploy-xxxx
Access Key ID：HPUAxxxxxxxx7K2M
状态：启用
出现位置：某第三方部署平台「服务环境变量」字段（平台库侧持久化）
权限画像：曾挂过宽计算 / 存储系统策略（应立即缩权）
最近使用时间：落在 2026-10-14 至 15 附近（对照本账号真实记录）

二、谁受损：同一把钥匙，四种账

损失形态不同，分开看：

财务 / 出纳方面，直接损失是按需账单陡升、可用额度被抽干、可能触发欠费停服；连带是对账周期被打乱。Zeabur 官方要求自 10 月 14 日起核对账单——财务侧把这一天标成对账起点，不要等「通知邮件齐了再动」。

安全 / 合规方面，凭证失控面从「一台业务机」扩到「凡写进平台库的环境变量」；审计若拿不出「密钥最近使用时间」与轮转记录，事后更难交代。同一把钥若还进了 CI、本地 .env 或另一家托管平台，事件面会更宽。

业务与工程侧，欠费、资源争抢或紧急停钥都可能打到核心服务；「我只是把 AK 贴进了平台的环境变量框」对抗不了账单上的 API 轨迹。「一键部署、环境变量集中存」的速度，在泄露后会变成事故扩散速度。

止血顺序写死：停用密钥，再缩权、清异常资源，再核对账单与告警，最后才复盘。

三、三条边界：IAM、访问密钥、账单

IAM 边界：人、组、策略，不是「一个管理员密码」

对照华为云 IAM 安全使用最佳实践，企业侧应固定记住：不要给账号创建访问密钥（密码与 AK/SK 对账号效力同等）；为人创建单独 IAM 用户，日常少用根身份；授予最小权限，系统策略过宽时用自定义策略收到「刚好够用」；控制台用户与编程用户分开，只登录控制台的不要顺手再发一把 AK；高权限用户开启虚拟 MFA，对删除资源、生成访问密钥等开启敏感操作（操作保护）；不要把访问密钥嵌入代码——把永久 AK 写进第三方平台环境变量，与硬编码是同一类事故。

访问密钥边界：永久 AK/SK 和临时安全凭证不是一回事

硬约束（以「管理 IAM 用户的访问密钥」为准）：每个 IAM 用户最多 2 个永久访问密钥，有效期为永久（除非停用或删除）；「最近使用时间」15 分钟内多次使用仅记第一次，可判断旧钥是否仍在被调用，但不是「精确到每一次」；SK 仅创建时可下载，关掉弹窗后只能删了重建。更稳妥路径是临时安全凭证（临时 AK/SK 加 security_token），或在 ECS 等场景用委托自动取临时凭证——永久密钥应视为「不得已」。

与 Zeabur 场景对照：平台库读走的是「名称 + 值」的环境变量全集；其中若含华为云永久 AK/SK，攻击者不必登录控制台，也能在权限范围内花你账号的按需费用。官方说「即使八月后已换过也要再换」——对华为云侧，旧钥只要曾进过平台库，就按已泄露轮转。

账单边界：费用中心看花了什么，成本中心看偏没偏

费用中心 / 账单：看账单概览、消费走势、流水与明细；异常窗口盯按天走势与 Top 产品类型。未出账数据有延迟，明细不宜直接当最终对账依据。对账起点按外证自 2026-10-14 起（其他云上的专用服务器回溯按其官方指引单独处理，本文以华为云费用中心为主）。

成本中心的异常成本监控只标「潜在异常」，不会自动关资源，也不对资损负责；系统监控器常见 T+2 时延，自建监控器常见 T+1。预算可按天 / 月 / 季 / 年设实际或预测阈值，超阈值短信或邮件提醒——适合早发现，不能替代密钥停用；检测有节奏，周期内常「首次触达才通知」，告警到达时费用往往已经上去。

按需异常规则官方示例：某日实际支出 105 元、预测最大值 100 元，差额大于 1 元即可生成异常记录（系统监控器场景下往往在 T+2 下午可见）。包年包月则看环比是否超过阈值（默认 20%）且差额大于 1 元。

四、控制台逐步核对（费用到密钥到资源再到告警）

以下假设你具备账号或 IAM 管理员权限；生产环境请先开变更窗。先停可疑密钥，再清异常资源。

步骤 A｜费用侧：偏了多少、偏在哪类产品

1. 打开「费用中心」→「账单」→「账单概览」，把时间调到 2026-10-14 前后（至少覆盖至停钥之日），看是否单日陡升。
2. 进流水或明细账单，按产品类型、按需、区域过滤，记下 Top 资源 ID。
3. （可选）打开「成本中心」→「成本洞察」→「异常成本监控」；没有记录不代表没有资损（注意 T+1 / T+2 时延）。

可自填核对（代入本账号真实导出）：

• 10/14 前 7 日日均：____ 元
• 异常窗口内峰值日：____ 元
• 比值：____ 倍
• Top 产品类型：____

步骤 B｜身份侧：陡升对齐到哪把密钥、哪个用户

1. 打开 IAM「用户」，排查命名含「paas」「deploy」「ci」「zeabur」「legacy」「tmp」的用户、近期新建用户，以及「给第三方平台用过」的编程用户。
2. 进入对应用户「安全设置」→「访问密钥」，记录状态、创建时间、最近使用时间。
3. 若最近使用时间落在 10/14～15 窗口或其后异常开资源窗口内，视为优先嫌疑对象。
4. 检查账号（根）是否仍持有访问密钥——若有，按官方建议停用并删除，编程访问迁到最小权限 IAM 用户。
5. 有 CTS 的，按时间窗检索凭证创建、ECS 开机等事件，交叉验证调用方（事件名以控制台为准）。

步骤 C｜权限侧：这把密钥本来能做什么

1. 查看该 IAM 用户所属用户组及附加策略。
2. 若存在「Tenant Administrator」、过宽的 FullAccess、或「所有资源」范围，泄露影响面接近账号级。
3. 编程用用户尽量用自定义策略收到「刚好能完成工作」；控制台管理员与机机账号分离。

步骤 D｜资源侧：停钥之后再清异常开出来的东西

1. 先停用嫌疑 Access Key（删除不可恢复；通常先停用，确认业务无影响，再删除）。
2. 每用户最多 2 把钥，可走「一主一备」：新建并切流，观察旧钥最近使用时间不再更新后停用、删除。
3. 按步骤 A 的资源 ID，在对应区域释放异常 ECS / EVS / EIP；必要快照仅用于取证。
4. 检查委托（agency）、新创建的 IAM 用户或用户组；凡曾写入第三方平台环境变量的同源凭证（含备用钥、CI 副本），按「整组已暴露」轮转。

步骤 E｜平台侧环境变量：别只盯控制台

1. 列出过去一年内，所有曾把华为云 AK/SK、数据库密码、签名密钥写成「平台侧环境变量」的项目与环境。
2. 在云厂商侧先撤销 / 停用旧凭证，再在平台侧写入新值并重新部署；只改平台字符串、不先撤云侧旧钥，等于旧钥仍可用。
3. 能迁到自有主机或密钥管理、且平台不再持久化明文的，按各平台迁移指引处理；迁移完成前，一律按「平台库可读」做轮转。不要把永久云密钥再写回任何会进平台库的环境变量字段。

五、缓解清单

已发生或高度疑似泄露（小时级）

• 停用嫌疑 Access Key；必要时同时缩权（细则以官方最佳实践与变更单为准）。
• 账号根 AK 若存在：业务切到 IAM 用户最小权限钥后，停用并删除根 AK。
• 释放异常按需资源；确认费用中心当日走势回落；高权限用户开启虚拟 MFA 与敏感操作保护。
• 通知财务自 2026-10-14 起核对可用额度与欠费风险。
• 若密钥曾出现在第三方平台环境变量：按「所有曾写入该平台库的同源凭证」轮转，不要只换一个项目。

48 小时内（防止复发）

• 清点全部 IAM 用户访问密钥：无「最近使用」、仅控制台登录的用户，删除多余 AK。
• 编程负载优先改为临时安全凭证或委托；必须用永久钥时：最小权限加定期轮转（双钥一主一备）。
• 代码仓、CI、共享盘、各部署平台「环境变量 / 密钥面板」检索永久凭证痕迹；凡出现过的一律视为已泄露并轮转。
• 成本中心配置预算告警（例如月预算 80% 实际或预测阈值）；开通并保留 CTS 对 IAM 关键操作的审计查询能力。

制度与架构（按迭代落地）

• 第三方 PaaS / 部署平台接入门禁：上线前检查「云密钥不得以永久明文进平台库」；能用临时凭证或自有密钥管理就不用永久 AK。
• 用户组按职能拆分（只读 / 运维 / 费用 / 安全）；自定义策略优先于过宽系统策略，授权范围优先指定区域 / 企业项目。
• 密钥轮转写入变更日历（例如每 90 天），轮转记录与「最近使用时间」截图一并归档；择机做一次「停用密钥，业务切流，账单回看」桌面推演。

六、常见误区

1. 「密钥在第三方平台环境变量里，又没进浏览器，应该没事」
   否。平台库被读走时名称与值一并暴露；计费主体仍是华为云账号。存放位置改变的是泄露路径，不是账单归属。

1. 「八月已经换过一轮，这次可以再等等通知」
   与 Zeabur 官方要求相反：即使八月后已换过，也要再换存放在该平台的所有密码与密钥。对华为云侧，旧钥只要曾进平台库，就按已泄露处理。

1. 「开了 IAM 最小权限就等于密钥安全」
   否。最小权限只降低爆炸半径；永久 AK 仍可能在权限范围内持续开资源。临时凭证与委托解决的是凭证生命周期。

1. 「异常成本监控或预算告警会替你刹车」
   否。异常成本监控不对资源做操作，且有 T+1 / T+2 时延；预算告警常「周期内首次触达才通知」，到达时费用往往已上去。告警是财务雷达，停用密钥才是刹车。

1. 「删了密钥就万事大吉」
   不完整。还需清异常资源、查新用户或新委托、按同源凭证轮转、补 MFA 与操作保护，并改掉平台侧明文存密钥的习惯。日常管理用已授权 IAM 用户，不要给账号创建访问密钥。

七、参考（华为云文档域 + 公开外证出处）

华为云官方文档（support.huaweicloud.com）

1. IAM 的安全使用最佳实践：https://support.huaweicloud.com/bestpractice-iam/iam_0426.html
2. 安全使用 IAM（新版最佳实践）：https://support.huaweicloud.com/bestpractice-iam5/iam_05_0111.html
3. 管理 IAM 用户的访问密钥：https://support.huaweicloud.com/usermanual-iam/iam_02_0003.html
4. 临时安全凭证概述：https://support.huaweicloud.com/usermanual-iam5/iam_01_1236.html
5. 异常成本规则（成本中心）：https://support.huaweicloud.com/usermanual-cost/costcenter_000013_05.html
6. 创建预测预算并接收告警：https://support.huaweicloud.com/qs-cost/billing_qs_0000003_01.html
7. 流水和明细账单（费用中心）：https://support.huaweicloud.com/usermanual-billing/bills-topic_new_1000102.html

公开外证出处

- Zeabur：2026 年十月安全事件（初步报告）
https://zeabur.com/zh-CN/blogs/october-2026-security-incident
https://zeabur.com/blogs/october-2026-security-incident

（控制台路径以登录后实际菜单为准；文档版本随官网更新。）

本文为华为云控制台可复现的企业治理说明。示例账号与密钥均为虚构打码；Zeabur 数字仅作公开外证。完成停钥与账单回看后，建议把「10/14 起日均对比峰值」「密钥最近使用时间对比资源创建时间」「曾写入平台库的项目清单对比轮转完成数」写进内部故障报告。

如果还要把合同、简历或配置文档发给外部大模型处理，可以先在本地用青椒智能脱敏处理敏感字段再上传：https://qingjiaolab.com