Railway hat am Mittwoch alle Deployments gestoppt, nachdem bekannt wurde, dass ein unbefugter Dritter möglicherweise auf Umgebungsvariablen von Kunden zugegriffen haben könnte. Die Cloud-Plattform hat alle Nutzer angewiesen, ihre gespeicherten Secrets sofort zu rotieren.

In einer am 21. Oktober veröffentlichten Sicherheitshinweise teilte Railway mit, dass es am Mittwochmorgen „anomalie Aktivitäten" in Systemen festgestellt hat, in denen die Umgebungsvariablen der Kunden gespeichert sind. Diese Variablen enthalten die Einstellungen und Secrets, die eine Anwendung zum Betrieb benötigt, typischerweise API-Keys sowie Datenbank- und Registry-Credentials. Genau diese Bündelung macht sie zu einem attraktiven Ziel: Ein einziger Speicher kann gleichzeitig gültige Zugangsdaten für viele externe Dienste enthalten.

Das Unternehmen hielt sich beim Ausmaß des Vorfalls bedeckt. Laut dem Sicherheitshinweis hat der Eindringling „möglicherweise auf verschlüsselte Umgebungsvariablen zugegriffen und bei einigen davon die entschlüsselten Inhalte erlangt." Die erste Analyse deutete darauf hin, dass möglicherweise nur ein begrenzter Teil der Nutzer betroffen ist, die Überprüfung läuft jedoch noch, und Railway hat allen geraten, so zu handeln, als wären ihre Secrets offengelegt worden.

Die Größe der Plattform verleiht der Warnung Gewicht. Im Januar gab Railway bekannt, dass 2 Millionen Entwickler und zehntausende Unternehmen die Plattform nutzen, von kleinen Shops bis hin zu Fortune-500-Firmen.

Deployments für alle Tarife ausgesetzt

Deployments sind für alle Kunden ausgesetzt, einschließlich Enterprise-Konten. Railway entschuldigte sich für die Beeinträchtigung und teilte mit, dass Kunden keine neuen Versionen ihrer Anwendungen bereitstellen können, bis die Builds wieder aufgenommen werden.

Das Unternehmen hatte zuvor einen gestuften Neustart skizziert, bei dem die Enterprise-Workspaces zuerst wieder online gehen, gefolgt von den Plänen Pro, Hobby, Free und Trial.

Railway fordert Nutzer zur Prüfung ihrer OpenAI-, Anthropic- und Stripe-Nutzung auf

Railway möchte, dass Nutzer sofort jede Umgebungsvariable auf der Plattform rotieren, etwa API-Keys und private Registry-Credentials, und anschließend die Service-Logs nach Auffälligkeiten durchsehen. Die Rotation ist der Schritt, der das Risiko entschärft: Wird ein Credential ersetzt, verliert sein alter Wert seine Gültigkeit, sodass jede vor der Änderung erstellte Kopie nicht mehr funktioniert. Betroffene Konten erhalten eine direkte E-Mail, sobald Railway sie bestätigt.

Das Unternehmen rotiert außerdem alle eigenen Storage-Bucket-Credentials, wobei die neuen Credentials automatisch in den Nutzer-Dashboards erscheinen. Als Teil der Schadensbegrenzung hat Railway OAuth-Sungen invalidiert und dadurch einige Nutzer abgemeldet. Der Ausfall betraf auch die API, das Dashboard und die Support-Seite der Plattform unter station.railway.com.

Am 22. Oktober veröffentlichte Railway Leitfäden, die Nutzer auffordern, ihre Systeme auf ungewöhnliche Zugriffsversuche gegen Google Cloud und Amazon Web Services zu überwachen. Weitere Leitfäden behandeln abnormale Nutzung von OpenAI, Anthropic, Grok, OpenRouter und Stripe, was die Sorge widerspiegelt, dass durchgesickerte Keys über Railways Umgebung hinausreichen könnten.

Im Google-Cloud-Leitfaden wird Nutzern empfohlen, jeden offengelegten Service-Account-Key zu invalidieren und die Cloud Audit Logs auf unbefugte Aktionen zu überprüfen.

Teil einer umfassenderen Kampagne gegen KI-Anbieter

Railway beschreibt die Sicherheitsverletzung in seiner Mitteilung als „Teil einer Reihe von Angriffen, die kürzlich auf Plattformunternehmen abzielten, mit dem Ziel, KI-Inference-Anbieter zu kompromittieren." Laut dem Unternehmen hat es alle seine Upstream-Anbieter aufgefordert, alle Keys zu invalidieren. KI-Inference-Anbieter betreiben KI-Modelle im Auftrag anderer Organisationen.

Dem Vorfall gehen weitere aktuelle Sicherheitsvorfälle in der Branche voraus. Cryptopolitan berichtete zuvor, dass 8 Personen die Überweisung von 17.286 DOT durch unbefugten Zugriff gemeldet hatten und dass die Fearless-Wallet-Browsererweiterung private Schlüssel von Polkadot-Nutzern an den Server eines Angreifers gesendet hatte.

Sicherheitsexperten berichten, dass kostengünstige KI-Tools mittlerweile Eindringlinge ermöglichen, die zuvor nur mit staatlichen Ressourcen umsetzbar waren. Ein Eindringling gab pro Angriff etwa 50 $ aus.

Railways Statusseite verfolgt den Vorfall, und Nutzer können dort Aktualisierungen zur Wiederaufnahme der Deployments verfolgen.