Railway: accesso alle variabili d’ambiente, ruota tutti i segreti

Railway, la piattaforma cloud su cui gli sviluppatori pubblicano applicazioni, API, database e servizi di backend, ha rilevato attività sospette sui sistemi che conservano le variabili d’ambiente dei clienti e chiede a tutti gli utenti di ruotare segreti e credenziali. Secondo BleepingComputer la piattaforma conta circa 4,8 milioni di utenti e ospita oltre 16 milioni di servizi.

La notizia è riportata da The Hacker News, TechCrunch e BleepingComputer; i dettagli che seguono vengono da TechCrunch e BleepingComputer, che citano il post pubblicato da Railway sul proprio blog e la sua pagina di stato.

Cosa è successo

Nella comunicazione di Railway, citata da entrambe le testate, la società scrive che un terzo non autorizzato potrebbe aver avuto accesso alle variabili d’ambiente cifrate e, per una parte di esse, averne ottenuto il contenuto in chiaro. Railway ricorda che queste variabili possono contenere chiavi API e credenziali di database e di registry.

I punti dichiarati finora:

• secondo l’analisi iniziale è coinvolto solo un sottoinsieme di utenti, ma la raccomandazione di ruotare tutto vale per tutti;
• Railway non ha detto quanti utenti siano coinvolti né quale sia la causa: il fondatore e amministratore delegato Jake Cooper ha detto a TechCrunch che sarà pubblicato un post-mortem;
• gli utenti con account di cui sarà confermata la compromissione riceveranno una comunicazione diretta (BleepingComputer);
• la società non ha risposto a TechCrunch sull’eventuale richiesta di riscatto.

Il collegamento con i provider di inferenza IA

Railway inserisce l’incidente in una serie di attacchi contro piattaforme che ha come obiettivo la compromissione dei provider di inferenza IA, i servizi che eseguono i modelli e restituiscono le risposte alle applicazioni ospitate. Secondo BleepingComputer questi provider sono stati avvisati direttamente e invitati a revocare per precauzione tutte le loro chiavi.

TechCrunch ricorda che pochi giorni prima OpenCode aveva comunicato un furto di chiavi API dei clienti in un attacco simile, attribuito dalla società a un attacco di distillazione dei modelli IA; ARX News ne ha scritto il 19 ottobre. Le fonti non dicono se dietro i due episodi ci siano gli stessi attori. Sempre secondo TechCrunch, l’incidente di Railway appare separato dalle vulnerabilità critiche di PHP («PHP2Shell») rese pubbliche nella stessa settimana.

Effetti sul servizio

Durante l’indagine Railway ha sospeso build e deploy. TechCrunch parla di una pausa breve seguita dal ripristino; BleepingComputer riporta che, secondo la pagina di stato aggiornata il 22 ottobre alle 08:44 UTC, le build erano tornate attive per gli spazi di lavoro Pro ed Enterprise, con molti deploy ancora in coda, mentre per Hobby, Free e Trial il ripristino era previsto in quest’ordine.

Dettagli tecnici e tecniche ATT&CK

Il vettore iniziale non è noto. Il fatto rilevante è che i segreti erano conservati cifrati e che, secondo Railway, l’attaccante è riuscito ad averne una parte in chiaro: chi li possiede può accedere a database, servizi cloud e registry privati come il legittimo titolare, senza passare dalla piattaforma.

Mappatura MITRE ATT&CK indicativa, ricavata dai fatti riportati: T1199 (Trusted Relationship) per l’accesso alle risorse dei clienti attraverso il fornitore della piattaforma; T1078.004 (Valid Accounts: Cloud Accounts) per l’eventuale uso dei segreti sottratti. Non sono stati pubblicati indicatori di compromissione.

Impatto per le aziende europee e italiane

Railway è usata anche da team europei e italiani, spesso per progetti nati velocemente e poi rimasti in produzione. Le variabili d’ambiente di un servizio ne sono, di fatto, le chiavi: database con dati di clienti, account cloud, chiavi di pagamento, token dei provider IA, credenziali di registry da cui partono le immagini in produzione.

• GDPR: se tra i segreti c’erano credenziali di database con dati personali, documenta la valutazione dell’evento e decidi, con i log alla mano, se c’è stata una violazione da notificare.
• NIS2: per i soggetti nel perimetro, l’incidente di un fornitore di piattaforma rientra nella gestione della catena di approvvigionamento (articolo 21); se dai log emerge un uso abusivo delle credenziali, valuta se l’evento è significativo ai fini della notifica.
• Sanità e dati particolari: dove i servizi ospitati trattano dati sanitari, la verifica degli accessi ai database va fatta per prima.

Cosa fare subito

1. Fai l’inventario: tutti i progetti, servizi e ambienti su Railway, con le loro variabili, comprese quelle condivise e le credenziali dei registry privati.
2. Ruota tutti i segreti, come chiede Railway, partendo da credenziali di database, chiavi dei provider cloud e IA, token dei registry, chiavi di pagamento e segreti di firma (sessioni, JWT, webhook). Crea la nuova credenziale, aggiornala, poi revoca la vecchia.
3. Tieni conto dei deploy in coda: se un servizio legge le variabili all’avvio, la nuova chiave entra in uso solo dopo il deploy successivo. Prima di revocare la vecchia, verifica che il servizio usi già la nuova.
4. Controlla i log dei servizi su Railway, come indica la società, e soprattutto quelli dall’altra parte: accessi ai database, log di audit degli account cloud, consumi e fatturazione dei provider IA, scaricamenti dai registry. Cerca accessi da indirizzi e Paesi insoliti a partire dai giorni precedenti l’avviso.
5. Riduci il valore dei segreti: privilegi minimi, accesso ai database limitato agli indirizzi necessari, tetti di spesa sui provider IA, token a scadenza breve dove possibile.
6. Segui le comunicazioni di Railway: la notifica diretta agli account compromessi e il post-mortem annunciato.

Come aiuta ARXDOME

Se i segreti esposti aprono database o server che gestisci tu, ARX Sentry raccoglie log ed eventi di sicurezza di computer, server e firewall e li raggruppa per famiglie, come accessi falliti e uso di credenziali esplicite, nelle pagine del SOC. ARX Horizon arricchisce ogni connessione con paese, operatore e liste di minacce, così un accesso con credenziali valide da un indirizzo insolito si distingue subito.

Ultimo aggiornamento: 22 ottobre 2026