Railway: acceso a variables de entorno, rota todos tus secretos

Railway, la plataforma cloud en la que los desarrolladores publican aplicaciones, API, bases de datos y servicios de backend, ha detectado actividad sospechosa en los sistemas que guardan las variables de entorno de los clientes y pide a todos los usuarios que roten secretos y credenciales. Según BleepingComputer, la plataforma tiene unos 4,8 millones de usuarios y aloja más de 16 millones de servicios.

La noticia la publican The Hacker News, TechCrunch y BleepingComputer; los detalles que siguen proceden de TechCrunch y BleepingComputer, que citan la entrada publicada por Railway en su blog y su página de estado.

Qué ha pasado

En el comunicado de Railway, citado por ambos medios, la empresa escribe que un tercero no autorizado pudo acceder a las variables de entorno cifradas y, en algunos casos, obtener su contenido descifrado. Railway recuerda que estas variables pueden contener claves API y credenciales de bases de datos y de registries.

Lo que se ha declarado hasta ahora:

• según el análisis inicial solo está afectado un subconjunto de usuarios, pero la recomendación de rotarlo todo vale para todos;
• Railway no ha dicho cuántos usuarios están afectados ni cuál es la causa: el fundador y consejero delegado Jake Cooper dijo a TechCrunch que se publicará un post-mortem;
• los usuarios cuyas cuentas se confirme que están comprometidas recibirán una notificación directa (BleepingComputer);
• la empresa no respondió a TechCrunch sobre una posible petición de rescate.

La relación con los proveedores de inferencia de IA

Railway sitúa el incidente dentro de una serie de ataques contra plataformas cuyo objetivo es comprometer a los proveedores de inferencia de IA, los servicios que ejecutan los modelos y devuelven las respuestas a las aplicaciones alojadas. Según BleepingComputer, estos proveedores fueron avisados directamente y se les recomendó revocar todas sus claves como precaución.

TechCrunch recuerda que pocos días antes OpenCode había comunicado el robo de claves API de sus clientes en un ataque similar, que la empresa atribuyó a un ataque de destilación de modelos de IA; ARX News lo contó el 19 de octubre. Las fuentes no dicen si detrás de ambos episodios están los mismos actores. También según TechCrunch, el incidente de Railway parece independiente de las vulnerabilidades críticas de PHP («PHP2Shell») publicadas esa misma semana.

Efectos en el servicio

Durante la investigación Railway suspendió builds y despliegues. TechCrunch habla de una pausa breve seguida del restablecimiento; BleepingComputer informa de que, según la página de estado actualizada el 22 de octubre a las 08:44 UTC, las builds se habían reactivado para los espacios de trabajo Pro y Enterprise, con muchos despliegues todavía en cola, mientras que para Hobby, Free y Trial el restablecimiento estaba previsto en ese orden.

Detalles técnicos y técnicas ATT&CK

No se conoce el vector inicial. Lo relevante es que los secretos se guardaban cifrados y que, según Railway, el atacante consiguió una parte de ellos en claro: quien los tiene puede acceder a bases de datos, servicios cloud y registries privados como su titular legítimo, sin pasar por la plataforma.

Correspondencia indicativa con MITRE ATT&CK, deducida de los hechos publicados: T1199 (Trusted Relationship) por el acceso a los recursos de los clientes a través del proveedor de la plataforma; T1078.004 (Valid Accounts: Cloud Accounts) por el posible uso de los secretos robados. No se han publicado indicadores de compromiso.

Impacto para las empresas europeas e italianas

Railway también la usan equipos europeos e italianos, a menudo para proyectos que nacieron deprisa y luego se quedaron en producción. Las variables de entorno de un servicio son, en la práctica, sus llaves: bases de datos con datos de clientes, cuentas cloud, claves de pago, tokens de proveedores de IA, credenciales de los registries de los que salen las imágenes de producción.

• RGPD: si entre los secretos había credenciales de bases de datos con datos personales, documenta la evaluación del incidente y decide, con los logs en la mano, si ha habido una violación que notificar.
• NIS2: para las entidades incluidas, el incidente de un proveedor de plataforma forma parte de la gestión de la cadena de suministro (artículo 21); si los logs muestran un uso indebido de las credenciales, valora si el incidente es significativo a efectos de notificación.
• Sanidad y categorías especiales de datos: si los servicios alojados tratan datos de salud, revisa primero los accesos a las bases de datos.

Qué hacer ya

1. Haz inventario: todos los proyectos, servicios y entornos en Railway, con sus variables, incluidas las compartidas y las credenciales de los registries privados.
2. Rota todos los secretos, como pide Railway, empezando por credenciales de bases de datos, claves de proveedores cloud y de IA, tokens de registries, claves de pago y secretos de firma (sesiones, JWT, webhooks). Crea la nueva credencial, despliégala y después revoca la antigua.
3. Ten en cuenta los despliegues en cola: si un servicio lee las variables al arrancar, la nueva clave solo entra en uso tras el siguiente despliegue. Antes de revocar la antigua, comprueba que el servicio ya usa la nueva.
4. Revisa los logs de tus servicios en Railway, como indica la empresa, y sobre todo los del otro lado: accesos a las bases de datos, logs de auditoría de las cuentas cloud, consumo y facturación de los proveedores de IA, descargas desde los registries. Busca accesos desde direcciones y países inusuales a partir de los días anteriores al aviso.
5. Reduce el valor de los secretos: privilegios mínimos, acceso a las bases de datos limitado a las direcciones necesarias, límites de gasto en los proveedores de IA, tokens de corta duración cuando sea posible.
6. Sigue las comunicaciones de Railway: la notificación directa a las cuentas comprometidas y el post-mortem anunciado.

Cómo ayuda ARXDOME

Si los secretos expuestos dan acceso a bases de datos o servidores que gestionas tú, ARX Sentry recoge logs y eventos de seguridad de ordenadores, servidores y firewalls y los agrupa por familias, como inicios de sesión fallidos y uso de credenciales explícitas, en las páginas del SOC. ARX Horizon enriquece cada conexión con país, operador y listas de amenazas, para que un acceso con credenciales válidas desde una dirección inusual destaque enseguida.

Última actualización: 22 de octubre de 2026