메시지 첨부 PDF·이미지를 공개 Cloudinary URL로 내보내 구글에 색인됐고, 세금 서류 같은 PII까지 검색됐다. 민감 업로드가 섞일 수 있으면 서명 없는 파일 URL은 편의 기능이 아니라 즉시 사고 포인트다.
Cloudinary를 사실상 오브젝트 스토리지처럼 썼고, 서명 URL 대신 공개 URL을 택했다.form 1040 같은 세금 문서 검색어까지 제시했다.security@fiverr.com에 알린 뒤 40일간 답이 없었다고 한다. 보안 이슈 자체보다 대응 체계까지 같이 점검해야 한다.확인된 범위는 내부 저장소 접근에 그쳤고, 고객 정보 영향 증거는 아직 없다. 당장 이전할 이슈는 아니지만 GitHub 공식 업데이트는 봐야 함.
enterprises, 조직까지 영향이 확정된 상황은 아님.GitHub 내부 저장소 밖에 저장된 고객 정보가 영향을 받았다는 증거는 아직 없음. 추가 공지가 변수다.결제, 분석, 보호, Play Console 변화가 한 번에 묶였다. Android 구독 앱은 빌드 거절 뒤가 아니라 다음 릴리스 전 점검할 이슈다.
Play Billing Library 9.0.0은 메이저 버전이다. 결제 코드와 SDK 호환성 확인을 다음 Android 배포 전 넣어야 함.Play Console, 분석, 보호까지 넓다. 단순 결제 라이브러리 교체로 끝낼 수 없음.관리형 호스팅도 계정·컨트롤 플레인 장애 앞에서는 그대로 멈춘다. env 백업, 재배포 리허설, 탈출 경로 없으면 편의성이 단일 장애점이 됨.
Vercel의 10개 프로젝트에서 env 변수·시크릿·설정이 사라졌다는 사례. 대시보드 상태도 백업 대상이다.Railway로 옮기는 데 며칠을 썼지만, 이번엔 홈페이지 포함 인프라 접근이 막혔다. 이사는 DR 전략이 아니다.AWS·GCP 직행은 초반이 더 번거롭다. 대신 IaC, 시크릿 백업, 재배포 절차를 직접 통제할 수 있다.