Представители PaaS-платформы Railway сообщили об атаке, в ходе которой злоумышленники могли получить доступ к секретам клиентов. В компании утверждают, что инцидент затронул лишь часть пользователей, однако рекомендуют всем сменить API-ключи и другие учетные данные, хранившиеся в переменных окружения.

Railway — облачная платформа для разработчиков, которая позволяет развертывать и запускать приложения, API, базы данных и другие бэкенд-сервисы без самостоятельной настройки инфраструктуры. Платформа также хранит связанные с развертыванием настройки и секреты, в том числе API-ключи и учетные данные для доступа к базам данных и реестрам. В настоящее время Railway насчитывает около 4,8 млн пользователей и хостит более 16 млн сервисов.

Специалисты Railway сообщили, что обнаружили подозрительную активность в системах, где хранятся пользовательские переменные окружения. Как показало расследование, неизвестные лица могли получить доступ к зашифрованным данным пользователей, а в некоторых случаях и к их расшифрованному содержимому.

Зачастую переменные окружения содержат API-ключи, пароли от баз данных, токены и другие секреты, которые приложения используют для доступа к внешним сервисам. Соответственно, компрометация этих данных может позволить атакующим получить доступ к сторонним сервисам или БД от имени жертвы.

Пока в Railway не раскрывают точное количество пострадавших, а также не сообщают о том, как именно произошла атаки и какие системы скомпрометировали злоумышленники. Основатель и глава Railway Джейк Купер (Jake Cooper) заявил изданию TechCrunch, что позднее компания опубликует подробный анализ этого инцидента.

В Railway полагают, что эта атака может быть связана с более масштабной вредоносной кампанией, направленной против платформенных сервисов, конечная цель которой — компрометация провайдеров инференса ИИ-моделей. Специалисты уже предупредили соответствующих провайдеров, чтобы те заранее отозвали потенциально скомпрометированные ключи.

По информации ИБ-исследовательницы Тейлор Монахан (Taylor Monahan), этот инцидент уже привел к краже криптовалюты: злоумышленники опустошали кошельки, приватные ключи от которых хранились в Railway. Первая известная транзакция, связанная с этими хищениями, произошла как минимум за два часа до официального раскрытия данных об инциденте.

Сообщается, что после обнаружения кибератаки специалисты Railway сменили учетные данные хранилищ компании и аннулировали API-токены. На время проведения расследования в компании приостановили создание новых сборок и развертывание приложений, но затем начали постепенно восстанавливать эту функциональность.

Теперь всем пользователям Railway рекомендуют обновить значения всех переменных окружения, включая API-ключи и учетные данные для доступа к закрытым реестрам образов, а также проверить логи связанных сервисов на предмет подозрительной активности. В компании подчеркивают, что в качестве меры предосторожности это необходимо сделать всем пользователям, независимо от наличия признаков компрометации.