Een gemeld datalek bij OpenCode heeft opgeslagen OpenAI- en Anthropic-API-sleutels in gevaar gebracht, en het advies uit de berichtgeving over het incident is duidelijk: roteer ze. Als je ooit een AI-providersleutel hebt geplakt in een tool van een derde partij, is rotatie van API-sleutels na het OpenCode-datalek een taak die je vandaag nog zou moeten doen, of je OpenCode zelf nu gebruikt of niet.
Een opmerking over wat we weten. De bronberichtgeving bevat weinig technische details, en de tekst die we hebben beschrijft niet hoe de inbraak heeft plaatsgevonden, hoeveel gebruikers zijn getroffen, of bevestigd is dat sleutels zijn misbruikt. We houden ons aan wat er is gemeld en beschouwen de rest als onbekend.
Wat het OpenCode-datalek blootlegde
Volgens Startup Fortune heeft het OpenCode-datalek naar verluidt opgeslagen OpenAI- en Anthropic-sleutels blootgelegd en geleid tot oproepen tot dringende sleutelrotatie. De kop zelf bevat het belangrijkste punt: het blootgelegde materiaal betrof inloggegevens, niet alleen accountgegevens.
Dat onderscheid is belangrijk. Een API-sleutel is een bearer-credential. Wie hem heeft, kan doorgaans verzoeken namens jou doen, verbruik op jouw rekening veroorzaken en in sommige opstellingen gegevens inzien die aan je account zijn gekoppeld. Anders dan bij een wachtwoord is er bij een sleutel vaak geen tweede factor die hem beschermt, en niets in het verzoek vertelt de provider dat het van iemand anders afkomstig is.
Omdat de beschikbare berichtgeving misbruik niet bevestigt, is de veiligste aanname eenvoudig: als een sleutel is opgeslagen in een getroffen tool, behandel hem dan als gecompromitteerd totdat je hem hebt vervangen.
Hoe opgeslagen API-sleutels bij aanvallers terechtkomen
AI-codeerassistenten en ontwikkelaarstools hebben je sleutels nodig om te werken. Meestal bewaren ze die in configuratiebestanden, lokale instellingen of gehoste accounts, zodat je ze niet opnieuw hoeft in te voeren. Dat gemak zorgt voor een concentratie van waardevolle geheimen op één plek.
Wanneer een tool of de dienst erachter wordt gecompromitteerd, kunnen die geheimen samen met al het andere weglekken. Eén gecompromitteerde leverancier kan tegelijk sleutels voor vele verschillende providers blootleggen, en dat is wat dit soort incidenten aantrekkelijk maakt voor aanvallers. Ze hoeven niet in te breken bij OpenAI of Anthropic. Ze hoeven alleen een plek te bereiken waar gebruikers de sleutels hebben achtergelaten.
De les is niet dat een bepaalde tool uniek onzorgvuldig is. De les is dat elke plek waar je een sleutel opslaat weer een plek is die kan falen, en dat je de beveiliging ervan zelden zelf in de hand hebt.
Waarom afpersing via datadiefstal blootstelling van inloggegevens duurder maakt
De timing van dit verhaal valt samen met een bredere verschuiving. Een nieuw rapport van Coveware by Veeam stelt dat ransomwarebendes in toenemende mate encryptie overslaan ten gunste van pure afpersing via datadiefstal. Gemiddelde losgeldbetalingen in Q2 2026 stegen met 176% naar $1,88 miljoen, hoewel de mediane betaling daalde. Het rapport noemt groepen als Silent Ransom en Scattered Spider als gebruikers van social engineering via de helpdesk.
Waarom hangt dat samen met blootgelegde sleutels? Wanneer aanvallers systemen niet hoeven te vergrendelen, kunnen ze zich richten op het stilzwijgend verzamelen van gegevens en inloggegevens, en slachtoffers vervolgens onder druk zetten met de dreiging die te lekken. Gestolen geheimen worden zowel hefboom als toegangspoort. Een sleutel die ongebruikt in een gelekte archiefkopie ligt, kan later worden getest, verkocht of gebruikt om meer gegevens te bereiken.
Het patroon is zichtbaar in recente incidenten. In het Deadlock-ransomwarelek van LT Group-paspoortgegevens draaide het verhaal om gestolen bestanden in plaats van vergrendelde machines. Evenzo laat de Play-ransomwareaanval op het Ierse bedrijf Barrett Mahony Engineers zien dat middelgrote organisaties nog steeds direct in de vuurlinie van deze groepen liggen. Wanneer de gestolen gegevens werkende inloggegevens bevatten, kan de schade zich ruim voorbij het oorspronkelijke slachtoffer uitstrekken.
Hoe je sleutels roteert en de schade van blootgelegde AI-sleutels beperkt
Rotatie betekent een nieuwe sleutel aanmaken en de oude buiten gebruik stellen. Als je het in de juiste volgorde doet, voorkom je downtime.
- Inventariseer waar de sleutel zich bevindt. Controleer toolconfiguraties, omgevingsbestanden, CI-instellingen en elke app waarin je een sleutel hebt geplakt.
- Maak een nieuwe sleutel aan in je OpenAI- of Anthropic-dashboard, idealiter één per tool of project, zodat je ze afzonderlijk kunt intrekken.
- Werk de tools bij die legitiem toegang nodig hebben met de nieuwe sleutel.
- Trek de oude sleutel pas in nadat de vervanging werkt.
- Controleer verbruik en facturering op onverwachte activiteit tijdens het venster van blootstelling.
Beperk vervolgens wat een toekomstig lek kan doen:
- Stel bestedingslimieten en verbruiksplafonds in per sleutel, waar de provider dat toestaat.
- Gebruik afzonderlijke sleutels voor experimenten en productiewerk.
- Geef de voorkeur aan kortlevende of beperkt gescopeerde inloggegevens boven langlevende hoofdsleutels.
- Vermijd het plakken van sleutels in tools die je niet echt nodig hebt.
Wat dit voor jou betekent
Als je OpenCode gebruikt en er een OpenAI- of Anthropic-sleutel in hebt opgeslagen, roteer die sleutels dan nu en controleer je verbruikslogs. Als je OpenCode niet gebruikt, geldt dezelfde logica voor elke tool van een derde partij die je inloggegevens bewaart.
Het bredere beeld is dat diefstal van inloggegevens waardevoller wordt, niet minder. Nu afpersingsgroepen steeds vaker leunen op gestolen gegevens in plaats van encryptie, zoals de bevindingen van Coveware by Veeam suggereren, is een gelekte sleutel geen kleine ergernis meer. Regionale dreigingsgegevens wijzen dezelfde kant op: het Cisco Talos-rapport over toenemende ransomwareactiviteit in Japan benadrukt ook hoe kleinere organisaties een groot deel van de impact dragen.
Concrete aandachtspunten
- Behandel elke sleutel die is opgeslagen in een getroffen tool als blootgelegd en vervang hem.
- Maak rotatie van API-sleutels na het OpenCode-datalek een routinegewoonte, geen eenmalige reactie.
- Gebruik één sleutel per tool, met bestedingsplafonds, zodat een lek een beperkte impact heeft.
- Controleer welke gegevens en geheimen elke tool van een derde partij bewaart, en verwijder wat je niet nodig hebt.
- Controleer providerdashboards op ongebruikelijk verbruik na elk gemeld datalek.
Begin met het opstellen van een lijst van elke tool die een AI-sleutel bewaart, roteer de tools waarvoor je niet kunt instaan, en lees de gerelateerde berichtgeving over incidenten met afpersing via datadiefstal hierboven om te zien hoe gestolen gegevens doorgaans worden gebruikt zodra ze je handen verlaten.
