Railway ha sospeso tutti i deployment mercoledì, dopo aver scoperto che un soggetto non autorizzato potrebbe aver acceduto alle variabili d'ambiente dei clienti, e la piattaforma cloud ha chiesto a tutti gli utenti di ruotare immediatamente i segreti archiviati.

In un comunicato di sicurezza pubblicato il 21 ottobre, Railway ha dichiarato di aver rilevato una "attività anomala" mercoledì mattina nei sistemi che archiviano le variabili d'ambiente dei clienti. Tali variabili contengono le impostazioni e i segreti necessari affinché un'applicazione possa funzionare, tipicamente chiavi API oltre a credenziali di database e registry. È proprio questa concentrazione a renderle un bersaglio di alto valore: un unico archivio può contenere credenziali attive per molti servizi esterni contemporaneamente.

L'azienda è rimasta vaga sull'entità dell'incidente. Secondo il comunicato, l'intruso "potrebbe aver acceduto alle variabili d'ambiente crittografate e, per alcune di esse, ottenuto il contenuto decrittografato." L'analisi iniziale ha indicato che un numero limitato di utenti potrebbe essere interessato, ma la revisione è in corso e Railway ha chiesto a tutti di comportarsi come se i propri segreti fossero stati esposti.

La scala della piattaforma dà peso all'avvertimento. A gennaio, Railway aveva annunciato che 2 milioni di sviluppatori e decine di migliaia di aziende utilizzano la piattaforma, da piccole attività fino a aziende Fortune 500.

Deployment sospesi su tutti i piani

I deployment sono sospesi per tutti i clienti, compresi gli account Enterprise. Railway si è scusata per il disagio e ha dichiarato che i clienti non potranno distribuire nuove versioni delle proprie applicazioni finché le build non saranno riattivate.

L'azienda aveva in precedenza delineato un riavvio graduale, con gli spazi di lavoro Enterprise a tornare online per primi, seguiti dai piani Pro, Hobby, Free e Trial.

Railway chiede agli utenti di verificare l'uso di OpenAI, Anthropic e Stripe

Railway vuole che gli utenti ruotino immediatamente ogni variabile d'ambiente sulla piattaforma, come chiavi API e credenziali di registry privati, e poi esaminino i log dei servizi alla ricerca di anything anomalo. La rotazione è il passaggio che neutralizza il rischio: la sostituzione di una credenziale invalida il vecchio valore, quindi qualsiasi copia acquisita prima della modifica smette di funzionare. Gli account coinvolti riceveranno un'e-mail diretta una volta confermati da Railway.

L'azienda sta inoltre ruotando tutte le credenziali dei propri bucket di archiviazione, con le nuove credenziali che compaiono automaticamente nei dashboard degli utenti. Come della mitigazione, Railway ha invalidato le sessioni OAuth, disconnettendo alcuni utenti. L'interruzione ha riguardato anche l'API della piattaforma, il dashboard e il sito di supporto su station.railway.com.

Il 22 ottobre, Railway ha pubblicato guide che incoraggiano gli utenti a monitorare i propri sistemi per tentativi di accesso insoliti contro Google Cloud e Amazon Web Services. Ulteriori guide riguardano l'uso anomalo di OpenAI, Anthropic, Grok, OpenRouter e Stripe, a testimoniare la preoccupazione che le chiavi compromesse possano estendersi oltre l'ambiente di Railway.

Nella guida di Google Cloud, si consiglia agli utenti di invalidare qualsiasi chiave di service account esposta e di esaminare i Cloud Audit Logs per individuare azioni non autorizzate.

Parte di una campagna più ampia contro i fornitori di AI

La notifica di Railway descrive la violazione come "parte di una serie di attacchi che recentemente prendono di mira le aziende di piattaforme con l'obiettivo di compromettere i fornitori di inferenza AI." Secondo l'azienda, ha chiesto a tutti i propri fornitori a monte di invalidare tutte le chiavi. I fornitori di inferenza AI eseguono modelli AI per conto di altre organizzazioni.

L'incidente segue altri recenti fallimenti di sicurezza nel settore. Cryptopolitan aveva precedentemente riportato che 8 persone hanno dichiarato il trasferimento di 17.286 DOT mediante accesso non autorizzato, e che l'estensione browser Fearless Wallet aveva inviato le chiavi private degli utenti Polkadot al server dell'attaccante.

Gli esperti di sicurezza hanno segnalato che strumenti AI economici consentono oggi intrusioni che in passato richiedevano risorse di livello statale. Un intruso ha speso circa 50 dollari per attacco.

La pagina di stato di Railway sta monitorando l'incidente, e gli utenti possono consultarla per aggiornamenti sulla ripresa dei deployment.