Railway demande à ses utilisateurs de révoquer leurs clés API après une faille de sécurité

La plateforme d'hébergement cloud Railway a confirmé le 21 octobre qu'une tierce partie non autorisée a potentiellement accédé à des variables d'environnement de ses clients, certaines ayant été déchiffrées. Ces données sensibles incluent des clés API, des mots de passe de bases de données et des identifiants de registres privés.

Railway a exhorté tous ses utilisateurs à remplacer leurs identifiants par mesure de précaution. Des instructions spécifiques ont été publiées pour les clients utilisant des services tiers comme OpenAI, Anthropic et GitHub, afin de limiter les risques d'utilisation abusive. L'entreprise a également invalidé ses propres jetons d'API et a contacté directement les clients identifiés comme étant potentiellement touchés.

Bien que les déploiements aient été temporairement suspendus pour permettre une enquête approfondie, le service est redevenu opérationnel pour les plans existants. Les inscriptions de nouveaux utilisateurs restent toutefois suspendues. Railway estime que cette attaque s'inscrit dans une campagne plus large visant à compromettre les plateformes technologiques pour accéder aux fournisseurs d'inférence en intelligence artificielle.

Cet incident fait suite à une attaque similaire survenue cette semaine contre l'outil de codage OpenCode, où des clés API ont été dérobées dans le cadre d'opérations liées à des modèles d'IA. Railway n'a pas encore précisé le nombre exact de comptes affectés, promettant la publication d'un rapport préliminaire détaillé dans les prochains jours.