В среду платформа Railway сообщила о «аномальной активности» в системах, где хранятся переменные окружения клиентов. Расследование показало, что посторонний мог получить доступ к зашифрованным переменным, а в отдельных случаях — и к их расшифрованному содержимому. Сначала компания говорила о затронутой «части пользователей», не называя масштаба. Позже она оценила, что могли быть скомпрометированы переменные не более чем в 1,85% рабочих пространств — примерно в 100 000.
Переменные окружения — это пары «ключ — значение», которые задают для операционной системы или контейнера. В них часто хранят API-ключи, доступы к базам данных и флаги функций. Такой способ позволяет не записывать секреты прямо в исходный код, но сами значения всё равно остаются чувствительными: получив их, злоумышленник может войти в связанные сервисы.
Railway сообщила, что узнала о «продолжительной целевой кампании» против своей инфраструктуры 20 октября 2026 года в 19:53 UTC. По предварительным данным, атакующие стремились проводить атаки дистилляции и пытались получить API-ключи поставщиков ИИ. Компания также заявила, что у злоумышленников, судя по ранним свидетельствам, были «облитерированные» модели и значительные вычислительные ресурсы, что позволяло применять сложные методы против инфраструктуры Railway. О доступе к потенциально скомпрометированным ключам компания узнала 21 октября в 09:25 UTC.
Исследовательница безопасности Taylor Monahan (@tayvano_) сообщила, что в результате инцидента атакующие опустошали криптовалютные кошельки, чьи закрытые ключи хранились на Railway. В сообщении указан адрес злоумышленников:
Railway отозвала все учётные данные своих бакетов и аннулировала API-токены. Компания связалась с поставщиками, чтобы превентивно отозвать потенциально затронутые ключи. Среди них — GitHub, GitLab, Anthropic, OpenAI, OpenRouter, SpaceXSI и Stripe. Уведомления клиентам продолжали рассылать по электронной почте.
Сборки сначала вернули для рабочих пространств Pro и Enterprise, затем — для Hobby, Free и Trial. Railway предупреждала, что сбои сборок всё ещё происходят чаще обычного, а развёртывания стоят в очереди дольше привычного. Регистрация новых пользователей оставалась временно приостановленной: компания сосредоточилась на действующих клиентах.
Railway напрямую связывалась с клиентами, чьё затрагивание было подтверждено, и отдельно предупреждала пользователей с высоким риском. К ним отнесли рабочие пространства с очень большим числом переменных окружения и среды, где хранилось много ключей поставщиков ИИ. Компания рекомендовала всем отозвать и заново создать чувствительные переменные, которые хранились на Railway до 21 октября 2026 года, убрать публичный сетевой доступ к базам данных и сменить секреты и ключи. Также следует просмотреть журналы аудита GitHub и проверить доступ приложений, а в реестрах вроде Docker Hub — изучить собственные журналы аудита. О других принятых мерах Railway не стала рассказывать, сославшись на безопасность клиентов.
Инцидент разворачивается на фоне случаев, когда злоумышленники используют чужие облачные ресурсы и ИИ-сервисы, а счёт за вычисления получает владелец учётной записи. Кражу доступа к чужой модели или сервису вывода называют LLMjacking. Это позволяет запускать запросы за счёт пострадавшего и скрывать, кто именно использует вычислительные мощности. Другие описанные атаки не установлены как связанные с Railway.
Ранее на той же неделе Wiz рассказала о компрометации привилегированных учётных данных Google Cloud Platform. По данным компании, злоумышленники связывали внешние проекты GCP под своим контролем с внутренними платёжными аккаунтами жертв. Первоначальный доступ они получали через рекламные объявления в Google Search: запросы вроде «google cloud» или «gap» перенаправляли пользователей через Google Sites на поддельную страницу входа Google. Там атакующие крали учётные данные и коды многофакторной аутентификации. Затем, пользуясь чрезмерными привилегиями аккаунтов, расширяли доступ, обходили защитные механизмы и добавляли собственные Gmail-аккаунты в платёжную учётную запись организации. ИИ-нагрузки запускались во внешних проектах, поэтому их запросы и ответы моделей оставались невидимыми для жертвы. Исследователи Wiz Shira Ayal и Andre Maccarone пояснили: «Поскольку ИИ-нагрузки обрабатывались во внешних проектах, содержимое запросов и ответы моделей оставались полностью скрыты от организации-жертвы, и характер массового использования ИИ был неизвестен».
Команда Symantec Threat Hunter описала и другой сценарий: злоумышленники используют открытые конечные точки больших языковых моделей для автономной киберпреступной операции, способной без участия человека сканировать интернет, эксплуатировать уязвимости, красть учётные данные и добывать криптовалюту. По данным Symantec, операция может выполнять до 100 000 шагов. Атакующий ИИ-агент работает в режиме «Skynet», заражая цели майнерами и помогая проводить другие атаки. Среди целей назывались Microsoft Visual Studio Code, Django, Jupyter, Laravel, Supabase, Next.js и Flask/Werkzeug. Задача — получить бесплатный вывод модели: использовать захваченный ИИ для планирования и управления атаками, переложить вычислительные расходы на владельца сервиса и скрыть личность атакующего. Symantec сообщила, что в перехваченных инструкциях описывался единый агент для массового сканирования, эксплуатации распространённых веб-фреймворков, кражи баз данных, сбора секретов и майнинга.
Связь между этой активностью и инцидентом Railway не подтверждена. Dick O'Brien, главный аналитик по разведке угроз в Symantec Threat Hunter Team, заявил The Hacker News, что в данных ловушек Symantec нет признаков такой связи. При этом API-ключи моделей остаются ценными: с ними можно запускать вывод за счёт владельца. В ловушках Symantec фиксировались массовые попытки использовать украденные ключи на конечных точках моделей. Ключи, извлечённые из переменных окружения на платформах вроде Railway, могли бы служить той же цели, но Railway не сообщала, злоупотребляли ли какими-либо ключами.
Переменные окружения — это пары «ключ — значение», которые задают для операционной системы или контейнера. В них часто хранят API-ключи, доступы к базам данных и флаги функций. Такой способ позволяет не записывать секреты прямо в исходный код, но сами значения всё равно остаются чувствительными: получив их, злоумышленник может войти в связанные сервисы.
Railway сообщила, что узнала о «продолжительной целевой кампании» против своей инфраструктуры 20 октября 2026 года в 19:53 UTC. По предварительным данным, атакующие стремились проводить атаки дистилляции и пытались получить API-ключи поставщиков ИИ. Компания также заявила, что у злоумышленников, судя по ранним свидетельствам, были «облитерированные» модели и значительные вычислительные ресурсы, что позволяло применять сложные методы против инфраструктуры Railway. О доступе к потенциально скомпрометированным ключам компания узнала 21 октября в 09:25 UTC.
Исследовательница безопасности Taylor Monahan (@tayvano_) сообщила, что в результате инцидента атакующие опустошали криптовалютные кошельки, чьи закрытые ключи хранились на Railway. В сообщении указан адрес злоумышленников:
0xd9773325282874d18cb83f1fe50f14c39750b2ee. Сумма похищенной криптовалюты не названа. В первоначальном описании также говорится о первой известной транзакции по краже средств в 19:36 — как минимум за два часа до официального раскрытия инцидента; дата и часовой пояс для этого времени не указаны. Railway отозвала все учётные данные своих бакетов и аннулировала API-токены. Компания связалась с поставщиками, чтобы превентивно отозвать потенциально затронутые ключи. Среди них — GitHub, GitLab, Anthropic, OpenAI, OpenRouter, SpaceXSI и Stripe. Уведомления клиентам продолжали рассылать по электронной почте.
Сборки сначала вернули для рабочих пространств Pro и Enterprise, затем — для Hobby, Free и Trial. Railway предупреждала, что сбои сборок всё ещё происходят чаще обычного, а развёртывания стоят в очереди дольше привычного. Регистрация новых пользователей оставалась временно приостановленной: компания сосредоточилась на действующих клиентах.
Railway напрямую связывалась с клиентами, чьё затрагивание было подтверждено, и отдельно предупреждала пользователей с высоким риском. К ним отнесли рабочие пространства с очень большим числом переменных окружения и среды, где хранилось много ключей поставщиков ИИ. Компания рекомендовала всем отозвать и заново создать чувствительные переменные, которые хранились на Railway до 21 октября 2026 года, убрать публичный сетевой доступ к базам данных и сменить секреты и ключи. Также следует просмотреть журналы аудита GitHub и проверить доступ приложений, а в реестрах вроде Docker Hub — изучить собственные журналы аудита. О других принятых мерах Railway не стала рассказывать, сославшись на безопасность клиентов.
Инцидент разворачивается на фоне случаев, когда злоумышленники используют чужие облачные ресурсы и ИИ-сервисы, а счёт за вычисления получает владелец учётной записи. Кражу доступа к чужой модели или сервису вывода называют LLMjacking. Это позволяет запускать запросы за счёт пострадавшего и скрывать, кто именно использует вычислительные мощности. Другие описанные атаки не установлены как связанные с Railway.
Ранее на той же неделе Wiz рассказала о компрометации привилегированных учётных данных Google Cloud Platform. По данным компании, злоумышленники связывали внешние проекты GCP под своим контролем с внутренними платёжными аккаунтами жертв. Первоначальный доступ они получали через рекламные объявления в Google Search: запросы вроде «google cloud» или «gap» перенаправляли пользователей через Google Sites на поддельную страницу входа Google. Там атакующие крали учётные данные и коды многофакторной аутентификации. Затем, пользуясь чрезмерными привилегиями аккаунтов, расширяли доступ, обходили защитные механизмы и добавляли собственные Gmail-аккаунты в платёжную учётную запись организации. ИИ-нагрузки запускались во внешних проектах, поэтому их запросы и ответы моделей оставались невидимыми для жертвы. Исследователи Wiz Shira Ayal и Andre Maccarone пояснили: «Поскольку ИИ-нагрузки обрабатывались во внешних проектах, содержимое запросов и ответы моделей оставались полностью скрыты от организации-жертвы, и характер массового использования ИИ был неизвестен».
Команда Symantec Threat Hunter описала и другой сценарий: злоумышленники используют открытые конечные точки больших языковых моделей для автономной киберпреступной операции, способной без участия человека сканировать интернет, эксплуатировать уязвимости, красть учётные данные и добывать криптовалюту. По данным Symantec, операция может выполнять до 100 000 шагов. Атакующий ИИ-агент работает в режиме «Skynet», заражая цели майнерами и помогая проводить другие атаки. Среди целей назывались Microsoft Visual Studio Code, Django, Jupyter, Laravel, Supabase, Next.js и Flask/Werkzeug. Задача — получить бесплатный вывод модели: использовать захваченный ИИ для планирования и управления атаками, переложить вычислительные расходы на владельца сервиса и скрыть личность атакующего. Symantec сообщила, что в перехваченных инструкциях описывался единый агент для массового сканирования, эксплуатации распространённых веб-фреймворков, кражи баз данных, сбора секретов и майнинга.
Связь между этой активностью и инцидентом Railway не подтверждена. Dick O'Brien, главный аналитик по разведке угроз в Symantec Threat Hunter Team, заявил The Hacker News, что в данных ловушек Symantec нет признаков такой связи. При этом API-ключи моделей остаются ценными: с ними можно запускать вывод за счёт владельца. В ловушках Symantec фиксировались массовые попытки использовать украденные ключи на конечных точках моделей. Ключи, извлечённые из переменных окружения на платформах вроде Railway, могли бы служить той же цели, но Railway не сообщала, злоупотребляли ли какими-либо ключами.
