Railway предупредила о риске утечки секретов из переменных окружения

Платформа «платформа как услуга» Railway сообщила об аномальной активности в системах хранения переменных окружения клиентов. По итогам расследования компания заявила, что неавторизованная сторона могла получить доступ к зашифрованным переменным, а в отдельных случаях — к их расшифрованному содержимому. Затронута лишь часть пользователей, но точное число Railway не назвала.

Переменные окружения обычно содержат чувствительные значения: API-ключи, учётные данные баз данных, флаги функций и другие секреты. Их задают на уровне операционной системы или контейнера, а не встраивают непосредственно в исходный код приложения.

Что сделала Railway

Компания считает, что инцидент может быть частью серии атак на платформенные сервисы, целью которых становится компрометация поставщиков ИИ-инференса. Railway уведомила вышестоящих поставщиков, чтобы они могли превентивно отозвать ключи и снизить риск злоупотребления ими.

В ответ Railway ротировала все учётные данные бакетов Railway и аннулировала API-токены платформы. Для рабочих пространств Pro и Enterprise были восстановлены сборки, чтобы клиенты могли применить новые учётные данные. Для тарифов Hobby, Free и Trial включение сборок ещё продолжалось; часть сборок могла завершаться ошибками, а развёртывания — дольше находиться в очереди.

Какие действия нужны клиентам

Railway рекомендует в качестве меры предосторожности сменить все переменные окружения, включая API-ключи, размещённые на платформе, а также учётные данные приватных реестров. Необходимо проверить журналы соответствующих сервисов на необычную активность.

Исследователь безопасности Taylor Monahan также сообщила, что злоумышленники использовали инцидент для вывода криптоактивов из кошельков, приватные ключи которых хранились в Railway. По её данным, первая известная транзакция по краже произошла как минимум за два часа до публичного раскрытия инцидента.

Контекст атак на облачные и ИИ-ресурсы

Railway связала инцидент с попытками получить доступ к инфраструктуре, используемой для ИИ-инференса. Такая модель злоупотребления известна как LLMjacking: злоумышленники захватывают доступ к чужим ИИ-ресурсам, а вычислительные расходы остаются на стороне жертвы.

Для бизнеса практический вывод однозначен: секреты, сохранённые в затронутой среде, следует считать потенциально раскрытыми. Ротацию нужно выполнять не только для ключей приложения, но и для доступа к реестрам, базам данных и внешним сервисам, после чего проверить логи на признаки несанкционированного использования.