Ключи доступа к облачным сервисам могли оказаться в чужих руках из-за взлома платформы, которой разработчики доверяли хранение своих секретов. Компания Railway предупредила всех пользователей о необходимости срочно заменить пароли, API-ключи и другие учётные данные после обнаружения подозрительной активности в собственной инфраструктуре.
21 октября Railway обнаружила признаки несанкционированного доступа к системам, которые хранят переменные окружения клиентских приложений. Проверка показала, что посторонние могли получить зашифрованные значения, а в отдельных случаях и расшифрованное содержимое. Переменные окружения часто содержат пароли баз данных, токены API и ключи доступа к закрытым реестрам программных пакетов.
Опасность выходит за пределы самой Railway. Украденные учётные данные потенциально позволяют обращаться к сторонним облачным сервисам, читать информацию из баз данных или пользоваться платными API от имени законных владельцев. Похожую схему ранее обнаружили в атаках на ИИ-инфраструктуру, когда злоумышленники извлекали секреты из переменных окружения приложений.
Railway предполагает, что инцидент связан с серией нападений на облачные платформы, конечной целью которых стали поставщики сервисов для запуска ИИ-моделей. Компания уведомила соответствующих провайдеров и предложила заблаговременно отозвать ключи доступа. Конкретные поставщики не названы, а связь нынешнего взлома с другими атаками пока остаётся предварительной версией.
В качестве защитной меры Railway временно остановила сборку и развёртывание приложений, ограничила работу панели управления и API. Компания самостоятельно аннулировала токены Railway API, включая ранее созданные Project Tokens, и заменила учётные данные облачных хранилищ. Пользователям также пришлось повторно подключать отдельные интеграции GitHub. Пауза осложнила замену секретов, поскольку новые настройки нельзя было сразу применить к работающим приложениям.
К 23 октября сервис восстановил сборку и развёртывание приложений для всех тарифов, включая Free и Trial, но временно сохранил запрет на регистрацию новых пользователей. Railway начала рассылать уведомления клиентам с высокой вероятностью компрометации. При этом точное число пострадавших аккаунтов, способ первоначального проникновения и полный масштаб возможной утечки пока не раскрыты.
Масштаб потенциального риска связан с популярностью платформы, обслуживающей около 4,8 млн пользователей и более 16 млн сервисов. Названные показатели не означают, что все аккаунты пострадали. Railway предварительно оценивает затронутую аудиторию как ограниченную часть клиентов, но рекомендует каждому заменить сохранённые секреты, отозвать старые ключи и проверить журналы сервисов на подозрительную активность. Предварительный отчёт об инциденте компания планирует опубликовать 23 октября.