Railway はセキュリティインシデントを公表し、権限のない第三者が顧客の暗号化された環境変数にアクセスし、その一部については復号された内容を取得した可能性があると説明しました。環境変数には API キーやデータベース、レジストリの認証情報が含まれることがあるため、Railway は予防措置として全ユーザーに保存中のすべての変数と API キーのローテーションを勧めています。

Railway が明らかにした内容

Railway によると、顧客の環境変数を保存するシステムで異常な活動を検知しました。Jake Cooper 名義の開示文では、初期分析では影響は一部ユーザーに限られる可能性があるとしつつ、調査完了までは全員がローテーションを行うよう求めています。影響を受けたアカウントが確認され次第、該当顧客にメールで直接連絡するとしています。

Railway 自身は「AI 推論プロバイダーの侵害を狙い、最近プラットフォーム企業を標的にしている一連の攻撃の一部だと考えている」と述べています。Railway はこれらの上流プロバイダーに通知し、すべてのキーを先回りして失効させるよう求めたとしています。プロバイダー名は明かしていません。

Jake Cooper は北京時間 10/22 06:04 に X でインシデントを告知し、念のためキーをローテーションするよう呼びかけました。モデルの API キーが狙われた別の事例として、LiteLLM 1.107.0 のサプライチェーン侵害も参考になります。

デプロイ停止と事後報告

調査中はすべてのデプロイが停止され、新バージョンを反映できない状態でした。北京時間 10/22 12:33、Jake Cooper はビルドの段階的な再開を始め、夕方から夜間、翌朝まで続けると投稿しました。同じ投稿で、Railway は完全な事後報告（ポストモーテム）を明日公開するとしています。この投稿は米太平洋時間 10/21 の夜に公開されたものです。最新情報はステータスページで案内されます。

いま取るべき対応

Railway の案内と、同社が公開した AWS・GCP 向けの 2 本のガイドに基づく内容です。

  • Railway に保存したすべての環境変数を直ちにローテーションする。API キーとプライベートレジストリの認証情報も含む。
  • それらのキーで使うサービスのログに不審な活動がないか確認する。
  • AWS のキー：漏えいした可能性のあるキーを無効化して新しいキーを作成し、Railway の変数を更新して再デプロイする。そのうえで全リージョンの CloudTrail を確認し、Cost Explorer で露出期間と前月を比較する。
  • GCP のサービスアカウントキー：該当キーを無効化し、新しいキーを Railway にデプロイし、Cloud Audit Logs で自分のアプリが生成していない活動を確認する。