Railway suspend ses déploiements après un possible vol de clés API clients

Railway a interrompu tous les déploiements mercredi après avoir découvert qu'une partie non approuvée aurait pu accéder aux variables d'environnement des clients.

La plateforme cloud a ordonné à tous les utilisateurs de faire tourner immédiatement les secrets stockés.

Le communiqué du 21 octobre indique qu’un intrus pourrait détenir des secrets déchiffrés

Railway a indiqué dans une divulgation de sécurité publiée le 21 octobre qu'il avait détecté une « activité anormale » mercredi matin sur les systèmes stockant les variables d'environnement des clients.

Ces variables contiennent les paramètres et les secrets dont une application a besoin pour fonctionner. Il s’agit généralement de clés API, ainsi que d’identifiants de base de données et de registres.

Le compte officiel de Railway a nuancé la portée de l’incident. Le communiqué précise que l’intrus « aurait pu accéder aux variables d’environnement chiffrées et, pour certaines d’entre elles, obtenir leur contenu déchiffré ».

L’entreprise a indiqué qu’une analyse préliminaire suggère qu’un sous-ensemble limité d’utilisateurs pourrait être affecté. L’examen est en cours et chacun doit agir comme si ses données avaient été exposées.

En janvier, Railway avait annoncé que 2 millions de développeurs et des dizaines de milliers d’entreprises utilisent sa plateforme, allant de petites boutiques aux entreprises du Fortune 500.

Les déploiements sont suspendus, y compris pour les clients Enterprise. L’entreprise s’est excusée pour cette perturbation, indiquant que les clients ne pourront plus déployer de nouvelles versions de leurs applications tant que les builds ne seront pas rétablis.

Railway avait précédemment esquissé un redémarrage progressif, avec les espaces de travail Enterprise en tête, suivis par les plans Pro, Hobby, Free et Trial.

Les guides invitent les utilisateurs à vérifier leur utilisation chez OpenAI, Anthropic et Stripe

Railway recommande aux utilisateurs de faire tourner immédiatement chaque variable d'environnement sur la plateforme, telles que les clés API et les identifiants des registres privés. La prochaine étape consiste à passer au crible les journaux de service pour détecter toute activité inhabituelle.

Les comptes concernés recevront un e-mail direct une fois que Railway aura confirmé l'incident. Railway fait également pivoter tous les identifiants des compartiments de stockage, et les nouveaux apparaissent automatiquement dans les tableaux de bord.

Dans le cadre de ses mesures d'atténuation, Railway a également déconnecté certains utilisateurs en invalidant les sessions OAuth. L'indisponibilité a également touché son API, son tableau de bord et son site de support à l'adresse station.railway.com.

Le 22 octobre, Railway a publié des guides encourageant les utilisateurs à surveiller leurs systèmes afin de détecter toute tentative d'accès anormale à Google Cloud et Amazon Web Services. Des guides concernant l'utilisation anormale d'OpenAI, Anthropic, Grok, OpenRouter et Stripe ont également été publiés, car les clés divulguées pourraient s'étendre au-delà de l'environnement de Railway.

Dans le guide relatif à Google Cloud, il est recommandé aux utilisateurs d'invalider la clé du compte de service exposée et d'examiner les journaux d'audit Cloud pour détecter toute action non autorisée.

La notification indique que Railway considère cette violation comme « faisant partie d'une série d'attaques ciblant récemment des entreprises de plateforme dans le but de compromettre les fournisseurs d'inférence IA ».

Selon Railway, l'entreprise a exhorté tous ses fournisseurs en amont à invalider toutes les clés. Les fournisseurs d'inférence IA sont chargés d'exécuter des modèles d'IA pour le compte d'autres organisations.

Cryptopolitan a rapporté que 8 personnes avaient divulgué 17 286 DOT comme ayant été transférés via un accès non autorisé, et que l'extension de navigateur Fearless Wallet avait envoyé les clés privées des utilisateurs Polkadot au serveur de l'attaquant.

Des experts en sécurité ont signalé que l'utilisation d'outils IA bon marché permet des intrusions qui n'étaient auparavant réalisables qu'avec des ressources de niveau étatique. Un intrus a dépensé environ 50 $ par attaque.