A gestão de custos em serviços na nuvem pode ser extremamente traiçoeira, especialmente quando a segurança falha. Este programador confiou cegamente nos alertas de orçamento da Google Cloud… E acordou com uma dívida de 15.000 euros.
O choque de acordar com uma conta inesperada
Este foi o cenário relatado por venturaxi, um utilizador da plataforma Reddit. Segundo o seu testemunho, o programador foi dormir descansado com um alerta de orçamento configurado para 10 dólares australianos (cerca de 6 euros). Ao acordar, deparou-se com uma fatura de 25.672,86 dólares australianos na Google Cloud, o que equivale a mais de 15.000 euros.
O utilizador afirma que, durante o período noturno, foram realizadas cerca de 60.000 pedidos não autorizados através de uma chave de API que, inicialmente, ele não conseguia identificar no seu painel de controlo.
O cerne da questão reside num detalhe que a Google esclarece na sua própria documentação: um alerta de orçamento não interrompe o consumo de recursos, apenas envia notificações por correio eletrónico quando certos limites são atingidos.
Por outras palavras, o sistema avisa que o gasto está a aumentar, mas não funciona como um interruptor automático que corta o serviço. Num contexto de utilização normal, isto pode ser suficiente. Contudo, perante um ataque automatizado com chaves comprometidas, os custos acumulam-se a uma velocidade superior à capacidade de reação do utilizador.
Went to bed with a $10 budget alert. Woke up to $25,672.86 in debt to Google Cloud.
by
u/venturaxi in
googlecloud
O perigo das chaves de API esquecidas e expostas
Para compreender a gravidade da situação, é necessário olhar para o funcionamento das chaves de API. Estas funcionam como uma chave mestra que permite a uma aplicação identificar-se perante um serviço. Se esta chave for exposta, qualquer pessoa pode utilizá-la para gerar pedidos que serão debitados na conta do proprietário original.
No caso de venturaxi, a chave pertencia a uma aplicação antiga de jardinagem desenvolvida para a sua mãe através do Cloud Run. A localização desta credencial foi particularmente difícil, pois não aparecia na lista habitual do AI Studio, tendo sido encontrada apenas com a ajuda de outros utilizadores noutra secção do painel da Google Cloud.
O relato torna-se ainda mais crítico ao abordar a assistência recebida. O programador afirma ter passado dias a lidar com agentes automáticos e diversos membros do suporte sem que houvesse uma figura central a acompanhar o processo.
Outro ponto polémico tem que ver com o nível da conta de faturação: o utilizador alega que o seu limite de crédito foi elevado automaticamente pela Google devido à sua antiguidade e bom historial de pagamentos. Esta confiança depositada na conta permitiu que o sistema processasse um volume de gastos muito superior ao esperado, sem que fosse solicitada uma autorização específica.
Embora casos como este gerem grande apreensão na comunidade de programadores, o desfecho para venturaxi acabou por ser positivo. A Google anulou a fatura exorbitante e devolveu os valores que já tinham sido alvo de tentativas de cobrança. No entanto, o utilizador ressalva que ainda não obteve respostas claras sobre como a chave foi exposta ou a origem exata do tráfego malicioso.
Leia também: