Railway detuvo todos los despliegues el miércoles después de descubrir que un tercero no autorizado podría haber accedido a variables de entorno de clientes, y la plataforma en la nube ha instruido a todos los usuarios a rotar de inmediato sus secretos almacenados.

En una divulgación de seguridad publicada el 21 de octubre, Railway indicó que detectó "actividad anómala" el miércoles por la mañana en los sistemas que almacenan las variables de entorno de los clientes. Esas variables contienen la configuración y los secretos que una aplicación necesita para funcionar, generalmente claves de API además de credenciales de bases de datos y registros. Esa concentración es lo que las convierte en un objetivo de alto valor: un solo almacén puede contener credenciales activas de muchos servicios externos a la vez.

La empresa fue cautelosa sobre el alcance del incidente. Según la divulgación, el intruso "pudo haber accedido a variables de entorno cifradas y, en el caso de algunas de ellas, obtenido su contenido descifrado". El análisis inicial indicó que un subconjunto limitado de usuarios podría verse afectado, pero la revisión continúa, y Railway ha pedido a todos que actúen como si sus secretos hubieran sido expuestos.

La escala de la plataforma da peso a la advertencia. En enero, Railway anunció que 2 millones de desarrolladores y decenas de miles de empresas utilizan la plataforma, desde pequeños negocios hasta empresas Fortune 500.

Despliegues pausados en todos los planes

Los despliegues están suspendidos para todos los clientes, incluidas las cuentas Enterprise. Railway se disculpó por la interrupción y dijo que los clientes no podrán implementar nuevas versiones de sus aplicaciones hasta que se restablezcan las compilaciones.

La empresa había esbozado anteriormente un reinicio por etapas, con los espacios de trabajo Enterprise volviendo en línea primero, seguidos por los planes Pro, Hobby, Free y Trial.

Railway pide a los usuarios revisar el uso de OpenAI, Anthropic y Stripe

Railway quiere que los usuarios roten de inmediato cada variable de entorno de la plataforma, como claves de API y credenciales de registros privados, y luego revisen los registros de servicio en busca de algo inusual. La rotación es el paso que neutraliza el riesgo: reemplazar una credencial invalida su valor anterior, por lo que cualquier copia tomada antes del cambio deja de funcionar. Las cuentas afectadas recibirán un correo electrónico directo una vez que Railway las confirme.

La empresa también está rotando todas las credenciales de sus depósitos de almacenamiento, y las nuevas credenciales aparecerán automáticamente en los paneles de los usuarios. Como parte de su mitigación, Railway invalidó las sesiones de OAuth, cerrando la sesión de algunos usuarios. La interrupción también afectó la API de la plataforma, el panel y el sitio de soporte en station.railway.com.

El 22 de octubre, Railway publicó guías que instan a los usuarios a monitorear sus sistemas en busca de intentos de acceso inusuales contra Google Cloud y Amazon Web Services. Guías adicionales cubren el uso anómalo de OpenAI, Anthropic, Grok, OpenRouter y Stripe, lo que refleja la preocupación de que las claves filtradas podrían extenderse más allá del entorno de Railway.

En la guía de Google Cloud, se recomienda a los usuarios invalidar cualquier clave de cuenta de servicio expuesta y revisar los Cloud Audit Logs en busca de acciones no autorizadas.

Parte de una campaña más amplia contra proveedores de IA

La notificación de Railway describe la brecha como "parte de una serie de ataques recientes dirigidos a empresas de plataformas con el objetivo de comprometer proveedores de inferencia de IA". Según la empresa, instó a todos sus proveedores ascendentes a invalidar todas las claves. Los proveedores de inferencia de IA ejecutan modelos de IA en nombre de otras organizaciones.

El incidente se produce tras otras fallas de seguridad recientes en el sector. Cryptopolitan informó prevamente que 8 personas revelaron que 17,286 DOT fueron transferidos mediante acceso no autorizado, y que la extensión de navegador Fearless Wallet había enviado las claves privadas de usuarios de Polkadot al servidor del atacante.

Expertos en seguridad han informado que las herramientas de IA de bajo costo ahora permiten intrusiones que antes solo podían lograrse con recursos de nivel estatal. Un intruso gastó aproximadamente 50 dólares por ataque.

La página de estado de Railway está monitoreando el incidente, y los usuarios pueden consultarla para obtener actualizaciones sobre cuándo se reanudan los despliegues.