Railway wstrzymał we środę wszystkie wdrożenia po odkryciu, że nieuprawniona strona mogła uzyskać dostęp do zmiennych środowiskowych klientów, a platforma chmuarna nakazała wszystkim użytkownikom natychmiastową rotację przechowywanych sekretów.

W zawiadomieniu o bezpieczeństwie opublikowanym 21 października Railway poinformował, że we środę rano wykrył „anomalną aktywność” w systemach przechowujących zmienne środowiskowe klientów. Zmienne te zawierają ustawienia i sekrety potrzebne aplikacji do działania, zazwyczaj klucze API oraz dane uwierzytelniające baz danych i rejestrów. To skupienie sprawia, że są one wysoko cenionym celem: pojedyncze repozytorium może przechowywać aktywne dane uwierzytelniające do wielu usług zewnętrznych jednocześnie.

Firma zachowała ostrożność co do zakresu incydentu. Zgodnie z zawiadomieniem intruz „mógł uzyskać dostęp do zaszyfrowanych zmiennych środowiskowych, a w przypadku niektórych z nich pozyskał ich odszyfrowaną zawartość”. Wstępna analiza wskazywała, że może to dotyczyć ograniczonej grupy użytkowników, jednak przegląd trwa, a Railway nakazał wszystkim działać tak, jakby ich sekrety zostały ujawnione.

Skala platformy nadaje temu ostrzeżeniu powagę. W styczniu Railway poinformował, że z platformy korzysta 2 milionów twórców i dziesiątki tysięcy firm, od małych zespołów po spółki z listy Fortune 500.

Wstrzymanie wdrożeń we wszystkich planach

Wdrożenia są wstrzymane dla każdego klienta, w tym dla kont Enterprise. Railway przeprosił za utrudnienia i poinformował, że klienci nie będą mogli wdrażać nowych wersji swoich aplikacji do czasu przywrócenia buildów.

Firma wcześniejszej przedstawiła plan etapowego wznowienia, w którym pierwsze wracają do online przestrzenie robocze, a następnie plany Pro, Hobby, Free i Trial.

Railway prosi użytkowników o sprawdzenie użycia OpenAI, Anthropic i Stripe

Railway chce, aby użytkownicy natychmiast przeprowadzili rotację każdej zmiennej środowiskowej na platformie, takiej jak klucze API i dane uwierzytelniające prywatnych rejestrów, a następnie przejrzeli logi serwisowe pod kątem niczego nietypowego. Rotacja to krok, który eliminuje ryzyko: zastąpienie danych uwierzytelniających unieważnia ich starą wartość, więc każda kopia pozyskana przed zmianą przestaje działać. Dotknięte konta otrzymają bezpośredniego e-maila po potwierdzeniu przez Railway.

Firma rotuje również wszystkie dane uwierzytelniające swoich bucketów storage, a nowe pojawiają się automatycznie w panelach użytkowników. W ramach działań ograniczających skutki Railway unieważnił sesje OAuth, wylogowując części użytkowników. Awaria zakłóciła też działanie API platformy, panelu i strony wsparcia pod adresem station.railway.com.

22 października Railway opublikował przewodniki zachęcające użytkowników do monitorowania systemów pod kątem nietypowych prób dostępu do Google Cloud i Amazon Web Services. Dodatkowe przewodniki obejmują nienormalne użycie OpenAI, Anthropic, Grok, OpenRouter i Stripe, co odzwierciedla obawy, że wycieklie klucze mogą wykraczać poza środowisko Railway.

W przewodniku dotyczącym Google Cloud zaleca się użytkownikom unieważnienie ujawnionego klucza konta serwisowego i przegląd Cloud Audit Logs pod kątem nieautoryzowanych działań.

Część szerszej kampanii wymierzonej w dostawców AI

Zawiadomienie Railway opisuje naruszenie jako „część serii ataków w ostatnim czasie wymierzonych w firmy platformowe w celu przejęcia dostawców inferencji AI”. Według firmy wezwała ona wszystkich swoich dostawców upstream do unieważnienia wszystkich kluczy. Dostawcy inferencji AI uruchamiają modele AI w imieniu innych organizacji.

Incydent nastąpił po innych niedawnych awariach bezpieczeństwa w branży. Cryptopolitan wcześniej informował, że 8 osób zgłosiło transfer 17 286 DOT w wyniku nieautoryzowanego dostępu oraz że rozszerzenie przeglądarki Fearless Wallet wysłało klucze prywatne użytkowników Polkadot na serwer atakującego.

Eksperci ds. bezpieczeństwa informują, że tanie narzędzia AI umożliwiają obecnie włamania, które wcześniej wymagałyby zasobów na poziomie państwowym. Jeden intruz wydał około 50 dolarów na atak.

Strona statusu Railway śledzi incydent, a użytkownicy mogą obserwować ją, aby uzyskać informacje o wznowieniu wdrożeń.