Railway zette woensdag alle deployments stil nadat bleek dat een onbevoegde partij mogelijk toegang heeft gekregen tot omgevingsvariabelen van klanten, en het cloudplatform heeft alle gebruikers opdracht gegeven hun opgeslagen secrets onmiddellijk te roteren.

In een beveiligingsdisclosure van 21 oktober meldde Railway dat het woensdagochtend "afwijkende activiteit" detecteerde in systemen die omgevingsvariabelen van klanten opslaan. Deze variabelen bevatten de instellingen en secrets die een applicatie nodig heeft om te draaien, doorgaans API-sleutels plus database- en registry-credentials. Juist die concentratie maakt ze tot een waardevol doelwit: één opslag kan tegelijk actieve credentials voor veel externe services bevatten.

Het bedrijf bleef voorzichtig over de omvang van het incident. Volgens de disclosure heeft de indringer "mogelijk toegang gekregen tot versleutelde omgevingsvariabelen en in sommige gevallen de ontsleutelde inhoud verkregen." Een eerste analyse wees uit dat mogelijk een beperkte groep gebruikers is getroffen, maar het onderzoek loopt nog, en Railway heeft iedereen gevraagd te handelen alsof hun secrets zijn gelekt.

De schaal van het platform geeft de waarschuwing gewicht. In januari kondigde Railway aan dat 2 miljoen builders en tienduizenden bedrijven het platform gebruiken, variërend van kleine bedrijven tot Fortune 500-ondernemingen.

Deployments stilgezet voor alle plannen

Deployments zijn opgeschort voor elke klant, waaronder Enterprise-accounts. Railway bood excuses aan voor de overlast en meldde dat klanten geen nieuwe versies van hun applicaties kunnen uitrollen totdat de builds zijn hervat.

Het bedrijf schetste eerder al een gefaseerde herstart, waarbij Enterprise-workspaces eerst weer online komen, gevolgd door de Pro-, Hobby-, Free- en Trial-plannen.

Railway vraagt gebruikers OpenAI-, Anthropic- en Stripe-gebruik te controleren

Railway wil dat gebruikers onmiddellijk elke omgevingsvariabele op het platform roteren, zoals API-sleutels en private registry-credentials, en daarna de servicelogs doorzoeken op alles wat afwijkend is. Rotatie is de stap die het risico wegneemt: het vervangen van een credential maakt de oude waarde ongeldig, waardoor elke kop die vóór de wijziging is gestolen, stopt met werken. Getroffen accounts ontvangen een directe e-mail zodra Railway ze heeft bevestigd.

Het bedrijf roteert tevens alle credentials van zijn opslagbuckets, waarbij de nieuwe credentials automatisch in de gebruikersdashboards verschijnen. Als onderdeel van de mitigatie heeft Railway OAuth-sessies ongeldig gemaakt, waardoor sommige gebruikers zijn uitgelogd. De storing trof ook de API, het dashboard en de supportsite op station.railway.com.

Op 22 oktober publiceerde Railway handleidingen die gebruikers aanmoedigen hun systemen te monitoren op ongebruikelijke toegangspogingen tegen Google Cloud en Amazon Web Services. Aanvullende handleidingen behandelen afwijkend gebruik van OpenAI, Anthropic, Grok, OpenRouter en Stripe, wat wijst op bezorgdheid dat gelekte sleutels verder kunnen reiken dan de omgeving van Railway.

In de Google Cloud-handleiding wordt gebruikers geadviseerd blootgestelde service-account-sleutels ongeldig te maken en de Cloud Audit Logs te controleren op ongeautoriseerde acties.

Onderdeel van een bredere campagne tegen AI-providers

De melding van Railway omschrijft het datalek als "onderdeel van een reeks aanvallen die zich recentelijk richten op platformbedrijven met als doel AI-inferentieproviders te compromitteren." Volgens het bedrijf heeft het alle upstream-providers aangezocht alle sleutels ongeldig te maken. AI-inferentieproviders draaien AI-modellen namens andere organisaties.

Het incident volgt op andere recente beveiligingsfalen in de sector. Cryptopolitan meldde eerder dat 8 personen bekendmaakten dat 17.286 DOT via ongeautoriseerde toegang is overgemaakt, en dat de Fearless Wallet-browserextensie de privésleutels van Polkadot-gebruikers naar de server van een aanvaller had gestuurd.

Beveiligingsexperts hebben gemeld dat goedkope AI-tools inbraak nu mogelijk maken die voorheen alleen met middelen op staatsniveau kon worden uitgevoerd. Eén indringer gaf ongeveer $50 per aanval uit.

De statuspagina van Railway volgt het incident, en gebruikers kunnen daar updates volgen over wanneer deployments worden hervat.