4,8 millones de usuarios y posible filtración de claves: Railway enfrenta un grave ciberincidente

Las claves de acceso a servicios en la nube podrían haber caído en manos ajenas debido a la violación de la plataforma en la que los desarrolladores confiaban para almacenar sus secretos. La empresa Railway advirtió a todos los usuarios de la necesidad de reemplazar urgentemente contraseñas, claves de API y otras credenciales tras detectar actividad sospechosa en su propia infraestructura.

El 21 de octubre Railway detectó indicios de acceso no autorizado a sistemas que almacenan las variables de entorno de las aplicaciones de los clientes. La verificación mostró que terceros pudieron obtener valores cifrados y, en algunos casos, el contenido descifrado. Las variables de entorno suelen contener contraseñas de bases de datos, tokens de API y claves de acceso a registros privados de paquetes.

El peligro va más allá de Railway. Las credenciales robadas potencialmente permiten acceder a servicios en la nube de terceros, leer información de bases de datos o usar APIs de pago en nombre de los propietarios legítimos. Un esquema similar fue detectado anteriormente en ataques contra infraestructuras de IA, cuando los atacantes extraían secretos de las variables de entorno de las aplicaciones.

Railway supone que el incidente está relacionado con una serie de ataques a plataformas en la nube cuyo objetivo final fueron los proveedores de servicios para ejecutar modelos de IA. La empresa notificó a los proveedores correspondientes y sugirió revocar con antelación las claves de acceso. No se nombraron proveedores concretos, y la relación del hackeo actual con otros ataques sigue siendo una hipótesis preliminar.

Como medida de protección Railway detuvo temporalmente la compilación y el despliegue de aplicaciones, y restringió el funcionamiento del panel de control y de la API. La empresa invalidó por su cuenta los tokens de Railway API, incluidos los Project Tokens creados anteriormente, y reemplazó las credenciales de los almacenes en la nube. Los usuarios también tuvieron que volver a conectar ciertas integraciones de GitHub. La pausa complicó el reemplazo de secretos, ya que no se podían aplicar de inmediato las nuevas configuraciones a las aplicaciones en funcionamiento.

Para el 23 de octubre el servicio restableció la compilación y el despliegue de aplicaciones para todos los planes, incluidos Free y Trial, pero mantuvo temporalmente la prohibición de registro de nuevos usuarios. Railway comenzó a enviar notificaciones a clientes con alta probabilidad de compromiso. Sin embargo, el número exacto de cuentas afectadas, el método de penetración inicial y la magnitud completa de la posible filtración aún no han sido revelados.

La magnitud del riesgo potencial está relacionada con la popularidad de la plataforma, que atiende a alrededor de 4,8 millones de usuarios y más de 16 millones de servicios. Estas cifras no significan que todas las cuentas se hayan visto afectadas. Railway estima preliminarmente que la audiencia afectada es una parte limitada de los clientes, pero recomienda a cada uno que reemplace los secretos almacenados, revoque las claves antiguas y revise los registros de los servicios en busca de actividad sospechosa. La empresa planea publicar un informe preliminar sobre el incidente el 23 de octubre.