Railway: acces la variabilele de mediu, rotește toate secretele

Railway, platforma cloud pe care dezvoltatorii publică aplicații, API-uri, baze de date și servicii de backend, a detectat activitate suspectă pe sistemele care păstrează variabilele de mediu ale clienților și le cere tuturor utilizatorilor să rotească secretele și credențialele. Potrivit BleepingComputer, platforma are aproximativ 4,8 milioane de utilizatori și găzduiește peste 16 milioane de servicii.

Știrea este relatată de The Hacker News, TechCrunch și BleepingComputer; detaliile care urmează provin de la TechCrunch și BleepingComputer, care citează articolul publicat de Railway pe blogul său și pagina sa de stare.

Ce s-a întâmplat

În comunicatul Railway, citat de ambele publicații, compania scrie că o terță parte neautorizată ar fi putut accesa variabilele de mediu criptate și, pentru o parte dintre ele, ar fi obținut conținutul decriptat. Railway amintește că aceste variabile pot conține chei API și credențiale pentru baze de date și registry-uri.

Ce s-a declarat până acum:

• potrivit analizei inițiale este afectat doar un subset de utilizatori, dar recomandarea de a roti totul este valabilă pentru toți;
• Railway nu a spus câți utilizatori sunt afectați și nici care este cauza: fondatorul și directorul general Jake Cooper a declarat pentru TechCrunch că va fi publicat un post-mortem;
• utilizatorii ale căror conturi sunt confirmate ca fiind compromise vor fi anunțați direct (BleepingComputer);
• compania nu a răspuns la întrebarea TechCrunch despre o eventuală cerere de răscumpărare.

Legătura cu furnizorii de inferență IA

Railway plasează incidentul într-o serie de atacuri împotriva unor platforme, având ca scop compromiterea furnizorilor de inferență IA, serviciile care rulează modelele și trimit răspunsurile către aplicațiile găzduite. Potrivit BleepingComputer, acești furnizori au fost anunțați direct și sfătuiți să-și revoce, preventiv, toate cheile.

TechCrunch amintește că, cu câteva zile înainte, OpenCode anunțase furtul unor chei API ale clienților într-un atac similar, atribuit de companie unui atac de distilare a modelelor IA; ARX News a scris despre el pe 19 octombrie. Sursele nu spun dacă în spatele celor două episoade se află aceiași actori. Tot potrivit TechCrunch, incidentul Railway pare separat de vulnerabilitățile critice din PHP («PHP2Shell») făcute publice în aceeași săptămână.

Efecte asupra serviciului

În timpul investigației, Railway a suspendat build-urile și deploy-urile. TechCrunch vorbește despre o pauză scurtă urmată de restabilire; BleepingComputer relatează că, potrivit paginii de stare actualizate pe 22 octombrie la 08:44 UTC, build-urile fuseseră reluate pentru spațiile de lucru Pro și Enterprise, cu multe deploy-uri încă în coadă, în timp ce pentru Hobby, Free și Trial restabilirea era prevăzută în această ordine.

Detalii tehnice și tehnici ATT&CK

Vectorul inițial nu este cunoscut. Important este că secretele erau păstrate criptate și că, potrivit Railway, atacatorul a reușit să obțină o parte dintre ele în clar: cine le deține poate accesa baze de date, servicii cloud și registry-uri private ca titularul legitim, fără să treacă prin platformă.

Corespondență orientativă cu MITRE ATT&CK, dedusă din faptele relatate: T1199 (Trusted Relationship) pentru accesul la resursele clienților prin furnizorul platformei; T1078.004 (Valid Accounts: Cloud Accounts) pentru eventuala folosire a secretelor sustrase. Nu au fost publicați indicatori de compromitere.

Impactul pentru companiile europene și italiene

Railway este folosită și de echipe europene și italiene, adesea pentru proiecte pornite rapid și rămase apoi în producție. Variabilele de mediu ale unui serviciu sunt, practic, cheile lui: baze de date cu datele clienților, conturi cloud, chei de plată, tokenuri ale furnizorilor IA, credențiale pentru registry-urile din care pleacă imaginile de producție.

• GDPR: dacă printre secrete se aflau credențiale pentru baze de date cu date personale, documentează evaluarea incidentului și decide, pe baza logurilor, dacă a avut loc o încălcare care trebuie notificată.
• NIS2: pentru entitățile vizate, incidentul unui furnizor de platformă intră în gestionarea securității lanțului de aprovizionare (articolul 21); dacă logurile arată o folosire abuzivă a credențialelor, evaluează dacă incidentul este semnificativ în vederea notificării.
• Sănătate și categorii speciale de date: acolo unde serviciile găzduite prelucrează date medicale, verifică mai întâi accesările bazelor de date.

Ce să faci acum

1. Fă inventarul: toate proiectele, serviciile și mediile de pe Railway, cu variabilele lor, inclusiv cele partajate și credențialele registry-urilor private.
2. Rotește toate secretele, așa cum cere Railway, începând cu credențialele bazelor de date, cheile furnizorilor cloud și IA, tokenurile registry-urilor, cheile de plată și secretele de semnare (sesiuni, JWT, webhook-uri). Creează noua credențială, distribuie-o, apoi revocă-o pe cea veche.
3. Ține cont de deploy-urile în coadă: dacă un serviciu citește variabilele la pornire, noua cheie intră în uz doar după următorul deploy. Înainte de a o revoca pe cea veche, verifică faptul că serviciul o folosește deja pe cea nouă.
4. Verifică logurile serviciilor tale de pe Railway, cum recomandă compania, și mai ales pe cele de pe partea cealaltă: accesările bazelor de date, logurile de audit ale conturilor cloud, consumul și facturarea furnizorilor IA, descărcările din registry-uri. Caută accesări din adrese și țări neobișnuite începând cu zilele de dinaintea anunțului.
5. Redu valoarea secretelor: privilegii minime, acces la bazele de date limitat la adresele necesare, plafoane de cheltuieli la furnizorii IA, tokenuri cu durată scurtă acolo unde se poate.
6. Urmărește comunicările Railway: notificarea directă a conturilor compromise și post-mortemul anunțat.

Cum ajută ARXDOME

Dacă secretele expuse deschid baze de date sau servere pe care le administrezi tu, ARX Sentry colectează loguri și evenimente de securitate de la computere, servere și firewalluri și le grupează pe familii, cum ar fi autentificările eșuate și folosirea credențialelor explicite, în paginile SOC. ARX Horizon îmbogățește fiecare conexiune cu țara, operatorul și listele de amenințări, astfel încât o autentificare cu credențiale valide de la o adresă neobișnuită iese imediat în evidență.

Ultima actualizare: 22 octombrie 2026