A Railway, plataforma de implantação em nuvem, recomendou que todos os usuários substituam credenciais armazenadas após um incidente divulgado em 21 de outubro. Segundo a empresa, um invasor pode ter acessado variáveis de ambiente criptografadas de clientes e lido parte de seus conteúdos. Esses dados podem incluir chaves de API, credenciais de bancos de dados e acessos a registros privados.

Embora a análise inicial indique impacto sobre uma parcela dos usuários, a divulgação de segurança recomenda a troca imediata de todas as credenciais guardadas. Além disso, a companhia orientou os clientes a revisar logs de serviços em busca de atividades incomuns. Para equipes que operam aplicações com criptomoedas, a medida exige identificar quais serviços podem ser acessados pelas credenciais expostas.

Troca ampla inclui chaves e variáveis

A Railway acredita que o caso faça parte de uma série de ataques contra empresas de plataformas. Conforme a companhia, os invasores buscam comprometer provedores de inferência de inteligência artificial. Por isso, a Railway avisou provedores upstream para que revogassem chaves preventivamente.

No entanto, a plataforma ainda não divulgou a causa do incidente nem o número de clientes potencialmente afetados. Também não detalhou quais tipos de variáveis o invasor conseguiu ler. Nesse cenário, a recomendação preventiva abrange todos os segredos mantidos no serviço.

Separadamente, a investigadora de blockchain @tayvano_ alegou no X que chaves armazenadas na Railway foram usadas em furtos. A investigadora estimou perdas de aproximadamente US$ 371 mil em pelo menos 19 redes compatíveis com a Máquina Virtual Ethereum, ou EVM. Ela ainda identificou um endereço atribuído ao invasor em sua análise.

Contudo, a Railway não confirmou o suposto furto, sua relação com o incidente ou a estimativa apresentada. Portanto, a alegação permanece independente da apuração divulgada pela plataforma. Ainda assim, a orientação cobre variáveis de ambiente, chaves de API e credenciais de registros privados mantidas no serviço.

Implantações retornam de forma gradual

Inicialmente, a Railway suspendeu todas as implantações enquanto investigava o incidente. Como resultado, os clientes não puderam lançar novas versões de suas aplicações. A interrupção também dificultou a instalação de credenciais substitutas e a revogação das chaves junto aos serviços emissores.

Depois, a empresa redefiniu credenciais usadas para acessar a própria Railway. Em 22 de outubro, às 04h17 UTC, a companhia invalidou todos os tokens de API da plataforma. Desse modo, clientes que integram sistemas à API pública precisaram criar novas credenciais.

Mais tarde, às 12h30 UTC do mesmo dia, a Railway informou uma redução nos tempos de espera das implantações. As compilações já funcionavam nos espaços de trabalho Pro e Enterprise. Enquanto isso, a empresa restaurava o acesso aos planos Hobby, Free e Trial, embora algumas implantações ainda enfrentassem atrasos.

Clientes devem verificar acessos em serviços de nuvem

Para a AWS, a Railway recomenda desativar as chaves de acesso potencialmente expostas e implantar substitutas. Além disso, o guia de verificação da AWS orienta a consulta ao CloudTrail e ao faturamento. Os clientes devem procurar ações que não tenham sido geradas por suas equipes.

A empresa afirmou que enviaria mensagens aos clientes afetados conforme confirmasse as contas envolvidas. Porém, a recomendação geral não depende desse contato individual. Assim, todos os usuários devem renovar as credenciais armazenadas e investigar possíveis sinais de acesso indevido.

De forma semelhante, o guia para o Google Cloud recomenda desabilitar chaves de contas de serviço possivelmente expostas. Em seguida, os clientes devem criar substitutas e revisar o Cloud Audit Logs e os dados de faturamento. A orientação ressalta que tokens de curta duração podem continuar válidos por até uma hora após a desativação da chave.

Apesar da retomada gradual dos serviços, a Railway ainda não detalhou a extensão completa do incidente. Da mesma forma, as alegações sobre perdas em criptomoedas seguem sem confirmação da empresa. Diante disso, a plataforma mantém a recomendação de renovar credenciais e investigar qualquer atividade anômala.

	Receba nossas últimas notícias em primeira mão.   Adicione-nos como sua fonte preferida no Google    e toque em “Favorito” para priorizar nossas atualizações.