Railway приостановила все развертывания в среду после обнаружения того, что неавторизованная сторона могла получить доступ к переменным окружения клиентов, и облачная платформа поручила всем пользователям немедленно сменить сохраненные секреты.

В публикации о безопасности, размещенной 21 октября, Railway сообщила, что утром в среду выявила «аномальную активность» в системах, хранящих переменные окружения клиентов. Эти переменные содержат настройки и секреты, необходимые приложению для работы, — как правило, API-ключи, а также учетные данные баз данных и реестров. Именно такая концентрация делает их высокоценной целью: одно хранилище может одновременно содержать действующие учетные данные множества внешних сервисов.

Компания уклонилась от точной оценки масштабов инцидента. Согласно публикации, злоумышленник «мог получить доступ к зашифрованным переменным окружения и, в отношении некоторых из них, к их расшифрованному содержимому». Первичный анализ показал, что затронутым может оказаться лишь ограниченный круг пользователей, однако проверка продолжается, и Railway попросила всех действовать исходя из того, что их секреты скомпрометированы.

Масштаб платформы придает этому предупреждению вес. В январе Railway объявила, что платформой пользуются 2 миллиона разработчиков и десятки тысяч компаний — от небольших студий до корпораций из списка Fortune 500.

Развертывания приостановлены на всех тарифах

Развертывания приостановлены для всех клиентов, включая аккаунты Enterprise. Railway принесла извинения за неудобства и сообщила, что клиенты не смогут развертывать новые версии своих приложений до возобновления сборок.

Ранее компания обозначила поэтапный план перезапуска: сначала онлайн возвращаются рабочие пространства Enterprise, затем тарифы Pro, Hobby, Free и Trial.

Railway просит пользователей проверить использование OpenAI, Anthropic и Stripe

Railway просит пользователей немедленно сменить каждую переменную окружения на платформе, включая API-ключи и учетные данные приватных реестров, а затем тщательно изучить журналы сервисов на предмет необычной активности. Ротация — это шаг, который устраняет риск: замена учетных данных делает старое значение недействительным, поэтому любая скопированная до изменения копия перестает работать. Подтвержденные затронутые аккаунты получат прямое письмо от Railway.

Компания также меняет все учетные данные своих storage-бакетов, при этом новые автоматически появляются в панелях управления пользователей. В рамках мер по смягчению последствий Railway аннулировала OAuth-сессии, выполнив принудительный выход некоторых пользователей. Сбой также затронул API платформы, панель управления и сайт поддержки station.railway.com.

22 октября Railway опубликовала руководства, призывающие пользователей отслеживать необычные попытки доступа к Google Cloud и Amazon Web Services. Дополнительные руководства касаются аномального использования OpenAI, Anthropic, Grok, OpenRouter и Stripe, что отражает опасение, что утекшие ключи могут выйти за пределы окружения Railway.

В руководстве по Google Cloud пользователям рекомендуется аннулировать скомпрометированный ключ сервисного аккаунта и проверить Cloud Audit Logs на предмет несанкционированных действий.

Часть более широкой кампании против AI-провайдеров

В уведомлении Railway инцидент описывается как «часть серии атак, направленных в последнее время на платформенные компании с целью компрометации провайдеров AI-инференса». По данным компании, она призвала всех своих вышестоящих провайдеров аннулировать все ключи. Провайдеры AI-инференса запускают AI-модели от имени других организаций.

Инцидент последовал за другими недавними сбоями безопасности в отрасли. Cryptopolitan ранее сообщала, что 8 человек заявили о переводе 17 286 DOT в результате несанкционированного доступа, а также о том, что браузерное расширение Fearless Wallet отправляло приватные ключи пользователей Polkadot на сервер злоумышленника.

Эксперты по безопасности сообщают, что недорогие AI-инструменты теперь позволяют осуществлять вторжения, которые прежде требовали ресурсов государственного уровня. Один злоумышленник потратил около $50 на атаку.

Страница статуса Railway отслеживает инцидент, и пользователи могут следить за ней, чтобы узнавать о возобновлении развертываний.