Railway a interrompu tous les déploiements mercredi après avoir découvert qu'un tiers non autorisé aurait pu accéder aux variables d'environnement de ses clients, et la plateforme cloud a demandé à tous les utilisateurs de renouveler immédiatement leurs secrets stockés.

Dans une divulgation de sécurité publiée le 21 octobre, Railway a indiqué avoir détecté mercredi matin une « activité anormale » dans les systèmes qui stockent les variables d'environnement des clients. Ces variables contiennent les paramètres et les secrets dont une application a besoin pour fonctionner, généralement des clés API ainsi que des identifiants de base de données et de registre. C'est cette concentration qui en fait une cible de grande valeur : un seul espace de stockage peut contenir simultanément des identifiants actifs vers de nombreux services externes.

L'entreprise est restée prudente sur la portée de l'incident. Selon la divulgation, l'intrus « aurait pu accéder à des variables d'environnement chiffrées et, pour certaines d'entre elles, obtenir leur contenu déchiffré ». Une première analyse indique qu'une sous-partie limitée d'utilisateurs pourrait être concernée, mais l'examen est en cours et Railway a demandé à chacun d'agir comme si ses secrets avaient été exposés.

L'envergure de la plateforme donne à cet avertissement tout son poids. En janvier, Railway a annoncé que 2 millions de développeurs et des dizaines de milliers d'entreprises utilisent la plateforme, des petites structures aux entreprises du Fortune 500.

Déploiements suspendus pour toutes les offres

Les déploiements sont à l'arrêt pour l'ensemble des clients, y compris les comptes Enterprise. Railway a présenté ses excuses pour cette interruption et a indiqué que les clients ne pourront pas déployer de nouvelles versions de leurs applications tant que les builds ne seront pas rétablis.

L'entreprise avait auparavant esquissé une reprise progressive, avec les espaces de travail Enterprise remis en ligne en premier, suivis des offres Pro, Hobby, Free et Trial.

Railway demande aux utilisateurs de vérifier leur usage d'OpenAI, Anthropic et Stripe

Railway demande aux utilisateurs de renouveler immédiatement chaque variable d'environnement de la plateforme, telles que les clés API et les identifiants de registre privés, puis de passer au peigne fin les journaux de service à la recherche de tout élément inhabituel. Le renouvellement est l'étape qui neutralise le risque : le remplacement d'un identifiant invalide son ancienne valeur, de sorte que toute copie effectuée avant le changement cesse de fonctionner. Les comptes concernés recevront un e-mail direct dès leur confirmation par Railway.

L'entreprise renouvelle également tous ses identifiants de buckets de stockage, les nouveaux identifiants apparaissant automatiquement dans les tableaux de bord des utilisateurs. Dans le cadre de sa réponse, Railway a invalidé les sessions OAuth, déconnectant certains utilisateurs. La panne a également affecté l'API de la plateforme, son tableau de bord et son site d'assistance à l'adresse station.railway.com.

Le 22 octobre, Railway a publié des guides encourageant les utilisateurs à surve leur système afin de détecter toute tentative d'accès inhabituelle visant Google Cloud et Amazon Web Services. D'autres guides concernent les usages anormaux d'OpenAI, Anthropic, Grok, OpenRouter et Stripe, reflétant la crainte que les clés compromises ne s'étendent au-delà de l'environnement de Railway.

Dans le guide Google Cloud, il est recommandé aux utilisateurs d'invalider toute clé de compte de service exposée et d'examiner les Cloud Audit Logs à la recherche d'actions non autorisées.

Une campagne plus large visant les fournisseurs d'IA

La notification de Railway décrit cette intrusion comme faisant « partie d'une série d'attaques visant récemment des entreprises de plateformes dans le but de compromettre les fournisseurs d'inférence IA ». Selon l'entreprise, elle a demandé à tous ses fournisseurs en amont d'invalider l'ensemble des clés. Les fournisseurs d'inférence IA exécutent des modèles d'IA pour le compte d'autres organisations.

Cet incident fait suite à d'autres failles de sécurité récentes dans le secteur. Cryptopolitan a précédemment rapporté que 8 personnes avaient signalé le transfert de 17 286 DOT via un accès non autorisé, et que l'extension de navigateur Fearless Wallet avait transmis les clés privées d'utilisateurs de Polkadot au serveur d'un attaquant.

Des experts en sécurité ont signalé que des outils d'IA peu coûteux permettent désormais des intrusions qui n'étaient auparavant réalisables qu'avec des ressources à l'échelle d'un État. Un intrus a dépensé environ 50 dollars par attaque.

La page de statut de Railway suit l'incident, et les utilisateurs peuvent la consulter pour obtenir des mises à jour sur la reprise des déploiements.