Trigger.dev 披露安全事故：约 0.66% 客户的环境变量遭未授权访问

公司称未发现攻击者访问其他客户数据、生产数据库或客户控制台账号的证据，并已吊销受影响环境中的 API 密钥。使用该服务的开发者可据此核对自己是否收到通知，并按建议轮换凭据。

事件经过

据 Trigger.dev 报告，11 月 1 日公司收到由异常活动触发的基础设施告警，很快判定为恶意行为，随后阻断了攻击者并缓解了攻击向量。公司表示，为保护调查和客户，目前不对具体攻击途径置评，会在认为可以负责任地公开时再分享。

报告称，攻击者获得了部分客户环境的 Trigger.dev 客户根 API 密钥，该密钥可完整访问对应环境的设置，包括环境变量。在部分客户环境中，攻击者还列出了近期的运行记录、部署和定时任务。这些调用返回的数据包括：

• 运行 ID、部署 ID、定时任务 ID
• 任务名、运行幂等键
• 运行状态、运行标签
• 部署元数据、部署错误
• 定时任务外部 ID、运行元数据

公司称，未发现攻击者访问其他客户数据、任何服务、生产数据库或客户控制台账号的证据。

如何确认是否受影响

据报告，受影响客户已通过邮件和控制台通知：邮件分别发送于 11 月 1 日约 21:36 UTC 和 11 月 2 日 20:27 UTC，控制台中也会显示通知横幅，其中列出了受影响的环境。公司请这些客户把相应环境中的凭据视为已泄露。公司称，没有收到通知的客户，其组织未受影响；如需核实账号状态，可联系公司。

建议的处置步骤

Trigger.dev 已主动吊销所有受影响环境中可能被波及的 Trigger.dev API 密钥。对受影响客户，公司建议：

1. 重新生成 API 密钥：所有已暴露的 Trigger.dev API 密钥均已吊销，公司已通过邮件说明具体操作。
2. 轮换受影响环境中的凭据：包括数据库密码、第三方 API 密钥和访问令牌，并建议到各服务商处吊销旧凭据。

公司已采取的措施

公司列出的措施包括：

• 移除攻击者对其系统的访问，并缓解攻击向量
• 作为预防，轮换内部凭据和密钥
• 复查所有客户环境的 API 访问日志，以确认影响范围
• 复查所有系统日志，以识别可疑活动
• 聘请网络安全事件响应专家，并通知执法部门
• 上线作用域 API 密钥的 IP 白名单和 OIDC 支持

公司表示，将继续推出更多以加强纵深防御、改进早期发现手段为目标的改动。

常见问题

关于环境变量的存储方式，公司称所有环境变量均静态加密，在运行执行时即时解密。自托管用户未受此次攻击影响，不过公司建议自托管用户将 WHITELISTED_EMAILS 设置为仅包含自己控制的账号，以单租户模式运行。此外，Webhook 签名密钥未暴露，无需轮换。

来源

• https://trigger.dev/blog/security-incident-report-nov-2026