Railway a averti qu'une partie non autorisée pourrait avoir accédé aux systèmes qui hébergent les variables d'environnement de ses clients, exposant potentiellement des clés d'API, des identifiants de bases de données et d'autres secrets utilisés par les applications hébergées sur ce fournisseur de plateforme en tant que service (PaaS).
Selon un rapport relayant la divulgation de Railway, l'entreprise a détecté une « activité anormale » dans les systèmes qui stockent ces variables. Railway indique que les données touchées étaient chiffrées, mais reconnaît que l'intrus a pu, dans certains cas, obtenir leur contenu déchiffré.
Railway décrit le périmètre comme limité à un « sous-ensemble d'utilisateurs », sans préciser le nombre de clients, d'espaces de travail ou de comptes concernés.
Pourquoi l'accès aux variables d'environnement crée un risque en aval
Les variables d'environnement sont des paires clé-valeur configurées au niveau du système d'exploitation ou du conteneur. Elles permettent aux applications d'utiliser des valeurs sensibles sans les intégrer directement dans le code source. Elles contiennent généralement des clés d'API, des mots de passe de bases de données, des identifiants de registre privé et des indicateurs de configuration.
Si un identifiant valide a été récupéré sous forme déchiffrée, il pourrait potentiellement être utilisé contre le service externe correspondant, même après la sécurisation des systèmes de Railway. Railway conseille donc aux clients de :
- Renouveler toutes les variables d'environnement stockées sur Railway, y compris les clés d'API.
- Renouveler les identifiants de registre privé.
- Examiner les journaux des services concernés et rechercher toute activité inhabituelle.
Les clients doivent considérer le renouvellement comme un remplacement, et non comme une simple ressaisie des mêmes valeurs. Toute investigation des journaux de services doit couvrir les systèmes atteints par ces identifiants, et pas seulement les déploiements Railway.
Railway invalide les jetons et rétablit la capacité des builds
Railway indique avoir informé ses fournisseurs en amont afin qu'ils puissent révoquer les clés de manière proactive et prévenir tout usage abusif. L'entreprise a également renouvelé tous les identifiants de ses buckets Railway et invalidé les jetons d'API Railway.
Au moment de la déclaration, les builds avaient été rétablis pour les espaces de travail Pro et Enterprise, ce qui permettait à ces clients de déployer les nouveaux identifiants. La restauration était toujours en cours pour les espaces Hobby, suivis des comptes Free et Trial.
L'incident perturbait aussi les opérations courantes. Railway signale un taux d'échec des builds supérieur à la normale, tandis que de nombreux déploiements restaient en file d'attente plus longtemps que d'habitude.
Un chercheur relie l'incident à des vols de cryptomonnaies
Le chercheur en sécurité Taylor Monahan, connu sous le nom de @tayvano_, a attribué des vols de portefeuilles de cryptomonnaies à l'adresse :
0xd9773325282874d18cb83f1fe50f14c39750b2ee
Monahan affirme que l'attaquant a vidé des portefeuilles dont les clés privées avaient été stockées sur Railway. Le premier vol connu aurait eu lieu à 19 h 36, soit au moins deux heures avant la divulgation de Railway. Aucune date ni aucun fuseau horaire n'accompagnait cette heure, et le matériel rapporté ne établit pas que Railway ait confirmé cette attribution.
Railway a par ailleurs estimé que l'intrusion faisait probablement partie d'une série d'attaques plus large visant des entreprises de plateformes, les fournisseurs d'inférence d'IA étant les cibles à terme. Il s'agit toujours de l'attribution de l'entreprise, et non d'un lien démontré avec une campagne nommée.
Pour les clients, la priorité immédiate est de remplacer chaque secret stocké dans Railway, de déployer les nouvelles valeurs dès que les builds des espaces de travail seront disponibles, et de vérifier l'utilisation non autorisée des services associés à ces identifiants.
