O Notion informou em 13 de novembro que avisou fornecedores sobre chaves de API expostas em mensagens do Notion AI afetadas pelo incidente de segurança na Fireworks AI. Segundo o comunicado do Notion, o alerta aos emissores foi feito no dia 12. A empresa já havia revogado, no dia 11, as chaves de sua própria API identificadas durante a investigação.
O Notion estima que o incidente afetou menos de 1% de seus espaços de trabalho. Para esses clientes, a empresa informou que enviou instruções por e-mail e disponibilizou uma forma de consultar os dados envolvidos dentro do próprio espaço.
Que conversas entraram no incidente
O material recebido pelo Notion em 8 de novembro incluía transcrições de conversas do Notion AI usadas pelo recurso Insights. A Fireworks AI fornecia infraestrutura para o processamento. No boletim sobre o incidente de outubro, a Fireworks relatou que a investigação havia identificado acesso indevido a dados de clientes. O boletim do Notion detalha quais dados seu fornecedor encontrou ligados ao serviço.
A primeira comunicação recebida pelo Notion, em 2 de novembro, dizia respeito a dados sintéticos de teste. A empresa interrompeu a comunicação de seus sistemas com a Fireworks na manhã seguinte. Em 6 de novembro, a Fireworks avisou sobre possível acesso a dados de clientes, o que levou o Notion a abrir uma nova investigação e, depois, identificar as transcrições no material recebido.
Segundo o Notion, na grande maioria dos espaços atingidos, as transcrições não traziam rótulos que identificassem o autor ou o espaço de trabalho. O conteúdo das mensagens ainda podia revelar o que havia sido digitado, como o nome de um serviço, detalhes de uma integração ou uma credencial copiada para a conversa. Foi nessa revisão que apareceram chaves do Notion e de terceiros.
Onde os clientes afetados podem conferir os dados
O aviso por e-mail orienta como consultar o material no espaço de trabalho afetado. A revisão deve considerar o texto integral da mensagem, pois o conteúdo pode incluir segredos de vários serviços. Uma chave de API pode autorizar operações em nome de um usuário, uma integração ou uma conta de serviço, conforme as permissões que recebeu na emissão.
Para os espaços afetados, o Notion recomenda tratar os dados apresentados como expostos e trocar credenciais que tenham sido incluídas nas conversas. A revogação das chaves da própria API do Notion e o aviso aos emissores externos são ações separadas. A equipe responsável pela integração pode confirmar com o emissor se a chave antiga foi invalidada e conferir nos registros do serviço se houve uso inesperado.
Quando uma chave exposta alimenta uma automação de produção, a substituição pode exigir atualizar o segredo no serviço que roda a integração e testar a rotina com a nova credencial. O caso da Northflank mostra como o impacto de uma chave depende do acesso que ela concede.
O que o Notion apurou sobre a oferta de dados em um fórum
Em outro aviso publicado em 13 de novembro, o Notion tratou de uma alegação de venda de uma grande base de dados atribuída à plataforma. A empresa disse que analisou a amostra divulgada com apoio externo, identificou campos incompatíveis com seus sistemas e não encontrou evidência de comprometimento de dados de clientes naquela alegação. O boletim sobre a Fireworks continua sendo a referência para os espaços de trabalho notificados sobre as transcrições.
