21 октября PaaS-платформа Railway опубликовала раскрытие инцидента: утром компания заметила необычную активность в системах, где хранятся переменные окружения клиентов. По предварительным данным, посторонние могли получить доступ к этим переменным, включая часть расшифрованных значений.
Что под угрозой
В переменных окружения обычно лежат самые чувствительные данные проекта: ключи API, пароли к базам данных, учётные данные приватных реестров образов. Railway считает, что затронута лишь часть пользователей, но число аккаунтов, способ проникновения и атакующего не назвала.
Компания связывает инцидент с недавней серией атак на платформенные компании, цель которых — добраться до ключей провайдеров AI-инференса. Railway уведомила вышестоящих провайдеров и попросила их превентивно отозвать ключи.
Реакция
- Деплои на всей платформе приостановлены на время расследования; сборки возвращаются поэтапно.
- Railway начала ротацию учётных данных всех storage-бакетов.
- Затронутым клиентам обещаны письма, после завершения — полный отчёт.
Что делать клиентам
- Ротировать все секреты из переменных окружения, не дожидаясь письма.
- Сбросить токены API, подключения GitHub и ключи бакетов.
- Проверить логи подключённых сервисов — AI-провайдеров, облаков, баз данных — на необычную активность.
On October 21, PaaS platform Railway published an incident disclosure: that morning it spotted unusual activity in the systems that store customer environment variables. Initial findings suggest an unauthorized party may have accessed those variables, including some decrypted values.
What is at risk
Environment variables tend to hold a project’s most sensitive data: API keys, database passwords and private registry credentials. Railway believes only a subset of users is affected, but has not disclosed the number of accounts, how access was gained or who is behind it.
The company links the incident to a recent series of attacks on platform companies aimed at reaching AI inference provider keys. Railway notified upstream providers and asked them to revoke keys proactively.
Response
- Deployments across the platform were paused during the investigation; builds are returning in stages.
- Railway started rotating credentials for all storage buckets.
- Affected customers will be emailed, and a full report is promised once the incident is resolved.
What customers should do
- Rotate all secrets stored in environment variables without waiting for an email.
- Reset API tokens, GitHub connections and bucket keys.
- Review logs of connected services — AI providers, clouds, databases — for unusual activity.