Railwayは、不正な第三者が顧客の環境変数にアクセスした可能性があることが判明したことを受け、水曜日に全デプロイを停止しました。同クラウドプラットフォームは、保存されたシークレットの即時ローテーションを全ユーザーに指示しています。

10月21日に公開されたセキュリティ情報の中で、Railwayは水曜日の朝、顧客の環境変数を保存するシステムで「異常なアクティビティ」を検出したと発表しました。これらの変数には、アプリケーションの動作に必要な設定やシークレット、通常はAPIキー、データベースおよびレジストリの認証情報が含まれています。この情報が一箇所に集中していることが、価値の高い標的となる要因です。単一の保存先に、多くの外部サービスへの有効な認証情報が同時に格納され得るのです。

同社はインシデントの影響範囲について慎重な見方を示しています。情報によれば、侵入者は「暗号化された環境変数にアクセスし、その一部については復号された内容を取得した可能性がある」ということです。初期分析では、影響を受ける可能性があるのは限られた一部のユーザーであると示されていますが、調査は継続中であり、Railwayは全ユーザーに対し、シークレットが漏えいしたものとして対応するよう指示しています。

同プラットフォームの規模が、この警告の重みを物語っています。1月、Railwayは200万人のビルダーと、小規模な事業者からフォーチュン500企業まで数万社が同プラットフォームを利用していると発表しました。

全プランでデプロイを停止

Enterpriseアカウントを含むすべての顧客のデプロイが停止しています。Railwayは混乱を謝罪し、ビルドが再開されるまで、顧客はアプリケーションの新バージョンをデプロイできないと説明しました。

同社は以前、段階的な再開の見通しを示しており、Enterpriseワークスペースが最優先で復旧し、その後Pro、Hobby、Free、Trialプランの順に再開される予定です。

Railway、OpenAI・Anthropic・Stripeの利用確認をユーザーに要請

Railwayは、APIキーやプライベートレジストリの認証情報、プラットフォーム上のすべての環境変数を直ちにローテーションし、その後、不審な点がないかサービスログを精査するようユーザーに求めています。ローテーションはリスクを無効化する重要なステップです。認証情報を置き換えることで古い値は無効になり、変更前に取得されたコピーは機能しなくなります。影響を受けたアカウントには、Railwayによる確認後、直接メールが送信されます。

同社はまた、すべてのストレージバケットの認証情報をローテーションしており、新しい認証情報はユーザーのダッシュボードに自動的に反映されます。緩和策の一環として、RailwayはOAuthセッションを無効化し、一部のユーザーをログアウトさせました。この障害は、station.railway.comのAPI、ダッシュボード、サポートサイトにも影響を及ぼしました。

10月22日、RailwayはGoogle CloudおよびAmazon Web Servicesに対する不審なアクセス試行を監視するようユーザーに促すガイドを公開しました。さらに、OpenAI、Anthropic、Grok、OpenRouter、Stripeの異常な利用に関するガイドも用意されており、漏えいしたキーがRailwayの環境を超えて拡大している可能性への懸念を反映しています。

Google Cloudのガイドでは、露出したサービスアカウントキーを無効化し、不正な操作がないかCloud Audit Logsを確認することが推奨されています。

AIプロバイダーを狙うより広範な攻撃キャンペーンの一部

Railwayの通知は、今回の侵害を「AI推論プロバイダーの侵害を目的として、最近プラットフォーム企業を標的にしている一連の攻撃の一部」と位置付けています。同社によると、すべての上流プロバイダーに対し、全キーの無効化を要請したといいます。AI推論プロバイダーは、他の組織に代わってAIモデルを実行する事業者です。

このインシデントは、業界で最近発生した他のセキュリティ事故に続くものです。Cryptopolitanはこれまでに、8人が不正アクセスによって17,286 DOTが送金されたと申告したこと、およびFearless Walletのブラウザ拡張機能がPolkadotユーザーの秘密鍵を攻撃者サーバーに送信していたことを報じています。

セキュリティ専門家は、安価なAIツールの利用により、以前は国家レベルのリソースが必要であった侵入が可能になっていると報告しています。ある侵入者は攻撃1回あたり約50ドルを費やしたといいます。

Railwayのステータスページではこのインシデントが追跡されており、デプロイ再開の最新情報を同ページで確認できます。